70 hacks y estafas en 7 días: 18 millones de dólares robados según SEAL

Una semana ordinaria. La Security Alliance (SEAL) ha registrado 70 incidentes de seguridad en el ecosistema cripto del 13 al 20 de octubre. La mayor pérdida corresponde a los Ledger comprometidos vendidos por CryptoBilis: tres nuevas víctimas y 9,3 millones de dólares desaparecidos en siete días.

El colectivo que opera la línea de emergencia SEAL 911 estima que la semana supera los 18 millones de dólares en sus ocho principales categorías de pérdidas. Se añaden alrededor de un centenar de ETH y algunos BTC. En la agenda: frases semilla robadas, robos físicos y entrevistas falsas dirigidas desde Pyongyang.
Puntos clave de este artículo:

• La Security Alliance ha registrado 70 incidentes de seguridad en el sector cripto en una semana, con pérdidas que superan los 18 millones de dólares.
• Los Ledger comprometidos vendidos por CryptoBilis han causado pérdidas de 9,3 millones de dólares, a pesar de una investigación en curso y advertencias de seguridad.

¿Quién es SEAL y por qué compartimos su trabajo?

La Security Alliance no es una firma de auditoría ni una empresa de seguridad que vende sus servicios. Es una organización sin fines de lucro lanzada a principios de 2024 por samczsun, un investigador de seguridad que pasó por Paradigm, que agrupa a varios cientos de voluntarios: investigadores, desarrolladores, investigadores on-chain, juristas. Su herramienta más conocida es SEAL 911, una línea de emergencia accesible a través de Telegram, donde un hacker ético toma el relevo en minutos cuando un protocolo es vaciado o un particular ve desaparecer sus fondos.

El colectivo también publica el Safe Harbor Agreement, un marco legal que permite a los white hats intervenir durante un ataque para proteger los fondos, y mantiene listas actualizadas de dominios de phishing y direcciones fraudulentas. Es de este trabajo meticuloso, visible día a día en el gráfico a continuación, de donde provienen todas las cifras de este artículo. Observables e incidentes recopilados día a día por SEAL del 13 al 20 de octubre. Fuente: Security Alliance (SEAL)

Aclaremos sin rodeos: Journal du Coin no tiene ninguna asociación con SEAL, y nadie nos ha pedido que hablemos de ellos. Compartimos su trabajo porque es de utilidad pública, y que estos informes semanales son, hasta donde sabemos, la fuente más confiable sobre lo que realmente está sucediendo en el ámbito de la seguridad. En un ecosistema donde nadie te reembolsa, SEAL se ha vuelto indispensable. Si eres víctima de un robo o un hackeo, o si sospechas que un dispositivo ha sido comprometido, el reflejo es simple: securityalliance.org/sos o el bot de Telegram @seal_911_bot, gratis, a cualquier hora.

Ledger y CryptoBilis: el implante sigue vaciando las billeteras

¿Pensabas que el asunto estaba detrás de ti? No lo está. Los tres reportes recibidos por SEAL esta semana suman por sí solos 9,3 millones de dólares, es decir, más de 3 millones por víctima en promedio. Para recordar, Ledger abrió su investigación el 9 de octubre, confirmó el 10 la presencia de un implante de hardware no autorizado en el dispositivo de un cliente, y luego el 11 vinculó todas las pérdidas reportadas a los dispositivos vendidos por este revendedor malasio.

La actualización técnica publicada el 13 de octubre por Ledger Donjon describe un mecanismo de una simplicidad cruel. El módulo alojado en la carcasa lee la pantalla durante la configuración (el momento en que se muestran las 24 palabras de la frase de recuperación). Luego las transmite a través de la red móvil gracias a una eSIM. El Secure Element, el chip seguro que firma las transacciones, permanece intacto. Por lo tanto, el << Genuine Check >> de Ledger valida el dispositivo como auténtico, sin poder detectar el implante.

El fabricante recomienda nunca inicializar un dispositivo comprado en este revendedor, y mover sus fondos a una nueva billetera con una nueva semilla si ya se ha hecho. El problema ahora supera el sudeste asiático. Un cliente alemán ha informado sobre un dispositivo comprometido comprado en MediaMarkt, sin pérdida de fondos hasta este momento, y la cadena ha retirado los Ledger de sus estantes en todos sus países.

Frases semilla y ataques de llave inglesa, el factor humano antes que el código

Con 25 casos de 70, la compromisión de la frase semilla sigue siendo, con mucho, la categoría más frecuente del informe SEAL. La factura de la semana alcanza 3,86 millones de dólares, 64,5 ETH y 0,3 BTC. Una frase semilla son esas 12 o 24 palabras que dan acceso a todos los fondos de una billetera. Quien las obtiene se convierte en propietario. Las tomas de control de cuentas añaden 1,6 millones de dólares al contador. Los 70 incidentes de la semana por categoría: la compromisión de la frase semilla aplasta todo lo demás. Fuente: Security Alliance (SEAL)

Los ataques de llave inglesa también figuran en la clasificación con dos víctimas asaltadas en persona y 1,22 millones de dólares robados. SEAL precisa que estas agresiones físicas están en aumento. El término se refiere al robo de criptomonedas bajo amenaza, cuando la llave inglesa reemplaza al malware. Los lectores franceses conocen el tema: la policía judicial ya contaba con 41 secuestros de criptomonedas en Francia a mediados de abril de 2026.

En cuanto a los protocolos, SEAL cuenta nueve informes. Seis compromisos han costado 2 millones de dólares y 37,44 ETH, incluidos dos exploits de 1 millón cada uno. Una toma de control de infraestructura ha hecho perder 32,400 dólares y 5 BTC. Y luego está este caso de amenaza interna, casi cómico si no fuera tan grave. Un colaborador agregó su propia dirección como firmante de un multisig, esta billetera que exige múltiples validaciones para mover los fondos.

Falsos Zoom y falsos reclutadores, Corea del Norte barre amplio

Los grupos norcoreanos han hecho cinco víctimas por 260,000 dólares. Tres de ellas han perdido 86,000 dólares en la trampa << Entrevista Contagiosa >> (una falsa entrevista de trabajo donde el candidato instala un malware creyendo pasar una prueba técnica). Una compromisión de billetera aún no vinculada a una campaña específica representa los 174,000 dólares restantes.

Más preocupante para los desarrolladores, el malware Polin Rider ha sido detectado en 13 de los 928 depósitos de un programa de recompensas de código abierto, informa SEAL. No se han reportado pérdidas hasta este momento. El grupo UNC1069 ha registrado además nuevos dominios que imitan servicios de videoconferencia. Y un conjunto de intrusión aún no atribuido, llamado SINT-69, continúa produciendo en cadena sitios falsos de Zoom y Teams con nombres como zoomwweb o teamlives.

El modo de operación no cambia. Un contacto te propone una llamada, el enlace redirige a una página que solicita una << actualización >> del software de videoconferencia, y esta actualización vacía tu wallet. Verifica el nombre de dominio antes de instalar cualquier cosa. Durante la semana, SEAL ha recopilado 2,393 dominios de phishing, publicado 2,437 indicadores de compromiso y listado 155 wallets.

Ledger aún no ha comunicado un balance oficial del número de dispositivos comprometidos ni del monto total robado, que califica como << limitado >>. Los investigadores on-chain, por su parte, ya siguen 103 millones de dólares en botín a través de Tornado Cash y Zcash, y los tres casos añadidos esta semana por SEAL aumentan aún más la cifra.