Estafas de Ingeniería Social en Contratos Inteligentes
La ingeniería social en contratos inteligentes representa una amenaza en rápida evolución dirigida a los tenedores de criptomonedas, particularmente aquellos con conocimientos técnicos moderados. A diferencia del phishing simple, estas estafas explotan la naturaleza aparentemente legítima de las transacciones blockchain al engañar a los usuarios para que firmen voluntariamente contratos inteligentes que otorgan a los estafadores acceso a sus activos digitales. La estafa generalmente se desarrolla durante 1-7 días, con víctimas perdiendo un promedio de $20,000, aunque objetivos sofisticados han perdido significativamente más. Los estafadores utilizan una combinación de contenido generado por IA, sitios web de proyectos falsos e impersonación de protocolos DeFi legítimos para crear una falsa urgencia en torno a airdrops de tokens de tiempo limitado, oportunidades de yield farming o eventos de acuñación de NFT. Según la empresa de seguridad blockchain Certik, los incidentes de explotación de contratos inteligentes e ingeniería social aumentaron un 156% en 2023, con pérdidas que superan los $14 mil millones en la categoría más amplia de estafas DeFi. Lo que hace que esta amenaza sea particularmente peligrosa es que la transacción blockchain en sí es permanente e irreversible una vez firmada, y las víctimas a menudo no se dan cuenta de que sus fondos han sido comprometidos hasta días después de la autorización inicial.
Common Tactics
- • Crear sitios web réplica convincentes de plataformas DeFi legítimas como Uniswap u OpenSea, completos con branding robado y URLs casi idénticas (por ejemplo, 'uniswap-swap.net' en lugar de 'uniswap.org'), luego incrustar código de contrato inteligente malicioso en la interfaz.
- • Enviar mensajes dirigidos en Discord o Telegram suplantando a moderadores de proyectos, ofreciendo asignaciones de tokens exclusivas o acceso temprano a preventas que requieren conexión de billetera a través de una dApp falsa, desencadenando automáticamente firmas de aprobación de contratos.
- • Generar videos de YouTube elaborados con IA o Twitter spaces que presentan versiones deepfake de influenciadores de criptomonedas promoviendo estrategias de yield farming falsas con retornos APY de 500%+, dirigiendo a los espectadores a contratos fraudulentos en cuestión de minutos.
- • Utilizar contratos honeypot que parecen generar ganancias en transacciones de prueba (mostrando pequeñas ganancias de $10-50) antes de que la víctima firme el contrato real que drena fondos, explotando la creencia psicológica de que han validado la oportunidad.
- • Incrustar código de contrato malicioso dentro de páginas de acuñación de NFT aparentemente legítimas, donde los usuarios autorizan límites de gasto de tokens (a menudo configurados como ilimitados) creyendo que solo están pagando comisiones de gas, luego drenando sus billeteras semanas después.
- • Realizar ingeniería social inversa hackeando cuentas de redes sociales de proyectos legítimos y publicando anuncios de retiro o intercambio de tokens que enlazan a contratos fraudulentos, aprovechando la confianza establecida de la comunidad.
How to Identify
- La billetera conectada muestra transacciones que nunca iniciaste, o recibes notificaciones sobre aprobaciones de tokens que no recuerdas haber autorizado, indicando que se ha ejecutado un contrato con funciones de drenaje ocultas.
- Una 'oportunidad' recién descubierta llegó a través de un mensaje no solicitado de alguien que se presenta como gestor de proyecto, ofreciendo acceso exclusivo que evita canales públicos normales como sitios web oficiales.
- La URL del sitio web contiene ligeros errores ortográficos o utiliza extensiones de dominio similares pero diferentes (.net en lugar de .org, o incluye guiones en lugares inusuales) en comparación con el sitio oficial del proyecto legítimo.
- Al ver el contrato en exploradores de blockchain como Etherscan, el código fuente no está verificado, o las funciones del contrato incluyen permisos sospechosos como 'transferFrom' con asignaciones ilimitadas a pesar de afirmar que solo facilitan intercambios de tokens.
- La oportunidad promete retornos que son matemáticamente imposibles o superan significativamente las tasas del mercado (rendimientos APY de 400%+), combinado con presión de tiempo extrema indicando que la oferta expira en horas.
- Tu saldo de billetera disminuye en cantidades inesperadas poco después de autorizar lo que creías era una interacción inofensiva de contrato, con registros de blockchain mostrando transferencias de tokens a direcciones de billetera desconocidas.
How to Protect Yourself
- Siempre navega a plataformas DeFi escribiendo la URL oficial completa directamente en tu navegador o usando marcadores, nunca hagas clic en enlaces de redes sociales, correos electrónicos o mensajes, independientemente de la credibilidad de la fuente.
- Antes de conectar tu billetera a cualquier dApp o firmar cualquier interacción de contrato, ve la dirección del contrato en Etherscan o PolygonScan, verifica que coincida con la documentación oficial del proyecto y comprueba el código fuente en busca de transferencias a direcciones desconocidas.
- Utiliza herramientas de aprobación de contratos como Revoke.cash o la página de aprobaciones de tokens de Etherscan para limitar los permisos de gasto de tokens a cantidades específicas o recuentos de transacciones en lugar de otorgar aprobaciones ilimitadas.
- Crea billeteras de criptomonedas separadas dedicadas únicamente a interacciones DeFi con fondos limitados, manteniendo la mayoría de las tenencias en billeteras de hardware seguras o billeteras de almacenamiento dedicadas que nunca se conectan a dApps.
- Habilita herramientas de simulación de transacciones disponibles a través de características de seguridad de MetaMask o servicios independientes como Tenderly para obtener una vista previa exacta de lo que hará un contrato inteligente antes de firmar, observando transferencias de tokens no autorizadas.
- Verifica cualquier anuncio importante a través de canales oficiales del proyecto (sitio web principal, cuentas de Twitter verificadas con insignia azul, Discord/Telegram oficial) antes de tomar cualquier acción, y haz referencias cruzadas en sitios independientes de seguridad blockchain como CertiK o Trail of Bits.
Real-World Examples
Un usuario recibió un mensaje en Discord de una cuenta que mostraba la insignia de moderador de OpenSea (comprada a través de la función de verificación pagada de Discord) ofreciendo acceso temprano exclusivo a un importante lanzamiento de NFT. El mensaje contenía un enlace a un sitio web visualmente idéntico a OpenSea, donde el usuario conectó su billetera de MetaMask para 'confirmar elegibilidad.' La página de conexión mostró una solicitud de aprobación de token para 'gestión de comisiones de gas,' que el usuario firmó sin leer los detalles del contrato. En seis horas, la billetera del usuario fue drenada de 15 ETH (aproximadamente $27,000 en ese momento) ya que el contrato contenía una cláusula de aprobación infinita que permitía al estafador retirar todos los tokens ERC-20.
Un comerciante de criptomonedas encontró un video de YouTube que presentaba lo que parecía ser un influenciador DeFi bien conocido (en realidad un deepfake generado usando IA generativa) demostrando una nueva estrategia de yield farming en un protocolo desconocido. El video mostró transacciones de prueba generando 8 ETH en retornos en 30 minutos. El estafador proporcionó una URL acortada que dirigía a una interfaz de contrato. Después de que la víctima depositó 2 ETH y recibió los 8 ETH prometidos en su billetera (financiados por el estafador para generar confianza), firmó una segunda autorización de contrato para la 'comisión de retiro.' Ese contrato contenía una función de drenaje que inmediatamente transfirió todos los 10 ETH y varios otros tokens a una billetera de estafador, totalizando $32,000 en pérdidas.
Un miembro del grupo de Telegram anunció un airdrop de tiempo limitado para un nuevo token de gobernanza DeFi, afirmando que 10,000 tokens estaban disponibles para los primeros 100 miembros de la comunidad que conectaran sus billeteras y verificaran su identidad. El proceso requería firmar una interacción de contrato en dos horas. La víctima navegó al sitio web proporcionado, conectó su billetera y firmó lo que parecía ser un contrato de reclamación de token estándar. Sin que la víctima lo supiera, el contrato incluía código oculto que monitoreaba la billetera en busca de tokens aprobados y los transfería automáticamente a la dirección del estafador. Durante los tres días siguientes, mientras la víctima realizaba actividades DeFi normales e interactuaba con protocolos legítimos, ocurrieron múltiples transferencias no autorizadas, resultando finalmente en $18,500 en pérdidas entre varios tokens.