Estafas de Criptodivisas en Tw – Los estafadores están utilizando cuentas verificadas y no verificadas para hacerse pasar por proyectos notables de NFT como Bored Ape Yacht Club y otros, etiquetando a los usuarios de Twitter para conducirlos a sitios web de phishing.
Contexto
En los últimos meses, varios proyectos de NFT, como Bored Ape Yacht Club (BAYC), Azukis, MoonBirds y OkayBears, han hecho cuentas falsas en Twitter para robar los NFT de los usuarios y monedas digitales como Ethereum y otras altcoins. Para crear expectación, muchos de estos proyectos han estado promocionando próximas integraciones con sus propios metaversos. Esto ha dado a los estafadores una amplia oportunidad de sacar provecho de los anuncios nuevos o rumoreados en asociación con estos proyectos.
Las estafas de criptodivisas en Twitter, que han sido frecuentes desde al menos 2018, han persistido en la plataforma a través de mercados alcistas y bajistas. Si hay algo seguro sobre las estafas de criptodivisas es que los estafadores están decididos a encontrar formas creativas de capitalizar el fervor por las criptodivisas y beneficiarse maliciosamente de ellas.
Los estafadores aprovechan las menciones de Twitter para captar la atención
Recientemente, los usuarios de Twitter con interés en las NFT y las criptodivisas probablemente hayan recibido notificaciones en sus menciones de Twitter. Los estafadores de criptodivisas están etiquetando a los usuarios en las respuestas de cientos de tuits. Al mencionar estos nombres de usuario de Twitter, están tratando de despertar su curiosidad en un intento de engañar a algunos usuarios para que caigan en sus estafas.
Fuente de la imagen: : Tenable, Marzo 2022
Airdrops y las NFT gratuitas son el vehículo perfecto para las estafas de criptodivisas
BAYC, uno de los proyectos de NFT de primera línea en el espacio que ha visto un crecimiento exponencial desde su lanzamiento en abril de 2021. Anunció a principios de este año un Airdrop de ApeCoin a los titulares de sus diversos proyectos de NFT como BAYC, Mutant Ape Yacht Club y Bored Ape Kennel Club. Naturalmente, los estafadores vieron este anuncio como una oportunidad propicia para captar el interés por este próximo lanzamiento aéreo. Después, comenzaron a crear campañas secuestrando cuentas verificadas de Twitter para conducir a los usuarios a sitios de phishing.
Fuente de la imagen: : Tenable, Marzo 2022
Estas cuentas verificadas secuestradas utilizaron fotos de perfil de BAYC NFT para dar legitimidad a sus afirmaciones de lanzamientos aéreos de tokens de $APE. Además, los estafadores utilizaban estas cuentas verificadas para mencionar a los usuarios en masa y captar su atención.
Fuente de la imagen: : Tenable, Marzo 2022
Otros proyectos notables de NFT suplantados
Además de BAYC, los estafadores se han hecho pasar por una variedad de otros proyectos NFT notables, incluyendo Azukis, Moonbirds, Invisible Friends y proyectos emergentes en la blockchain Solana como OkayBears.
El lanzamiento del metaverso Otherside de BAYC es aprovechado por los estafadores
El 30 de abril, Yuga Labs lanzó su proyecto de metaverso Otherside, una forma de que los titulares de NFT de BAYC puedan comprar escrituras («Otherdeeds») de terrenos en su metaverso. Este lanzamiento desbordó la red Ethereum, dando lugar a elevadas tarifas de gas para los entusiastas que intentaban acuñar un terreno en el metaverso. Para aprovechar la frustración de estos entusiastas, los estafadores no tardaron en crear cuentas falsas de OthersideMeta en Twitter. Comenzaron a promocionar páginas de phishing no sólo para acuñar Otherdeeds, sino también páginas para aquellos que querían obtener un reembolso de las excesivas tasas de gas que pagaron al intentar adquirir los Otherdeeds.
Fuente de la imagen: : Tenable, Mayo 2022
Los estafadores alertan sobre estafadores y utilizan cuentas falsas para dar legitimidad a los tuits
Convenientemente, los estafadores utilizarán la amenaza de posibles estafadores como justificación de por qué «limpian» o «cierran» los comentarios o respuestas a sus tuits.
Fuente de la imagen: : Tenable, Abril 2022
A continuación, aprovechan las cuentas falsas que responden al tuit para que parezca legítimo. Una vez que han sembrado unos cuantos tuits falsos, aprovechan una función incorporada en Twitter para las conversaciones para restringir quién puede responder a sus tuits. Esto impide que los usuarios adviertan a otros del posible fraude que les espera.
Fuente de la imagen: : Tenable, Abril 2022
Los sitios de phishing son indistinguibles de los sitios legítimos del proyecto NFT
Los estafadores aprovechan los activos de los sitios legítimos del proyecto NFT para elaborar sus sitios de phishing, lo que dificulta que el aficionado promedio a las criptomonedas pueda distinguirlos.
Fuente de la imagen: : Tenable, Mayo 2022
Los estafadores también utilizarán servicios populares como Linktree para conducir a los usuarios a páginas falsas que imitan los mercados NFT como OpenSea y Magic Eden.
Fuente de la imagen: : Tenable, Mayo 2022
Conectar su cartera a sitios no fiables es una perspectiva peligrosa
Estos sitios de phishing no se basan en el robo de nombres de usuario y contraseñas tradicionales de los usuarios. Intentan convencer a los usuarios de que conecten sus monederos de criptomonedas, normalmente monederos basados en el navegador como MetaMask o Phantom (Solana) a los sitios de phishing. Los usuarios desprevenidos tienen que conceder explícitamente a estos sitios de phishing permiso para acceder a sus carteras. Al hacerlo, los estafadores pueden transferir las monedas digitales como Ethereum ($ETH) o Solana ($SOL), así como cualquier NFT que se encuentre en estas carteras.
Estas estafas basadas en NFT tienen mucho éxito
Un investigador que se hace llamar Zachxbt señaló recientemente que los sitios de phishing de BAYC Otherside tuvieron tanto éxito que pudieron localizar tres direcciones de criptodivisas. Habían robado varios NFT de Mutant Ape Yacht Club (MAYC), BAYC, Azuki y otros por valor de 6.2 millones de dólares.
El playbook de los estafadores de NFT en Twitter
Los proyectos suplantados aquí son sólo los pocos ejemplos que he encontrado en los últimos meses. Sin embargo, los recientes y futuros proyectos de NFT o los anuncios de proyectos existentes que aún no se han lanzado probablemente serán capitalizados por los estafadores siguiendo el mismo playbook:
- Hackear o comprar una cuenta de Twitter verificada o una cuenta con cientos de miles de seguidores
- Cambiar la cuenta para hacerse pasar por proyectos notables de NFT o sus miembros utilizando fotos de perfil y otras imágenes del proyecto
- Tuitear sobre lanzamientos aéreos próximos o recientes para los proyectos con enlaces que apunten a sitios web de phishing
- Etiquetar a los usuarios directamente desde la cuenta suplantada o utilizar un ejército de cuentas falsas para etiquetar a los usuarios en cientos de tuits
- Esperar a que los usuarios hagan clic en los enlaces de phishing y concedan acceso a sus carteras de criptomonedas para comenzar a robar NFT y monedas digitales
Puede haber algunas ligeras variaciones en los pasos anteriores, pero lo más probable es que sigan utilizando el mismo enfoque hasta que algo altere el playbook.
La cuenta de Twitter del artista digital Beeple fue hackeada para promover una estafa de phishing
Fuente de la imagen: xBenJamminx (Twitter)
¿Cómo podría Twitter reducir muchas de estas estafas de criptomonedas NFT?
- Hacer que la función de fotos de perfil NFT esté disponible para todos los usuarios en lugar de sólo para los miembros de pago de Twitter Blue. Dado que las cadenas de bloques están pensadas para ayudar a verificar la confianza, permitir que todo el mundo utilice esta función proporcionará un mecanismo por el que los usuarios podrán verificar la autenticidad de los tuits de alguien que utilice una foto de perfil BAYC.
- Ocultar temporalmente los tweets y los perfiles de las cuentas verificadas que cambien sus fotos de perfil y sus nombres. Los estafadores que consiguen secuestrar cuentas verificadas de Twitter las convertirán en marcas, personas notables o proyectos de NFT. Al ocultar temporalmente estos tuits y perfiles cuando realicen un cambio de este tipo en sus perfiles, Twitter daría a su equipo interno de abusos la oportunidad de revisar manualmente estos cambios antes de que los estafadores causen estragos.
- Crear advertencias para los perfiles y enlaces compartidos por cuentas verificadas que hayan cambiado recientemente sus nombres y fotos de perfil. Además, poner un bloqueo que cree advertencias para los usuarios finales cuando sean etiquetados en tuits de perfiles verificados recientemente actualizados o en los enlaces que se han compartido. Dado que las cuentas de Twitter se etiquetan por un user_id, añade una burbuja de advertencia junto a un tuit que diga «Este perfil ha cambiado recientemente su nombre y su foto de perfil de (x) a (y). Si este perfil parece sospechoso, denuncia la cuenta».
- Vigila señales como el etiquetado masivo en los tuits. Para atraer la atención de los usuarios, los estafadores se basan en etiquetar a muchos usuarios en las respuestas a los tuits. Si un tuit comienza a recibir respuestas que etiquetan a varios usuarios, marque el tuit/cuenta original y las respuestas posteriores como sospechosas.
Los usuarios de Twitter interesados en las criptomonedas deben mantenerse escépticos
Operar desde un lugar de escepticismo probablemente va a proporcionar cierta cobertura para los usuarios cuando se trata de tales estafas. Si te etiquetan de forma proactiva en un tuit, deberías sospechar mucho de las motivaciones que hay detrás, incluso si viene de una cuenta de Twitter verificada. Busca el sitio web del proyecto original y cruza los enlaces que veas que se comparten en Twitter con los de su sitio web oficial. Los estafadores también se basarán en la urgencia para intentar presionar a los usuarios en este espacio. Si se trata de un NFT, dirán que queda un número limitado de plazas. Esta urgencia hace que sea más fácil aprovecharse de los usuarios que no quieren perder la oportunidad.
Muchos de los consejos aquí son temporalmente valiosos porque, en última instancia, los estafadores en este espacio son astutos y continuarán innovando su camino hacia su MetaMask u otras carteras de criptomonedas, por lo que el más antiguo, pero más destacado modismo sigue siendo válido: si suena demasiado bueno para ser verdad, lo es.
Protégete de cualquier ataque con Tenable y BG2 Services. Somos tu mejor aliado en ciberseguridad ¡Contáctanos hoy!
Fuente
- Narang, Satnam. (2022). Twitter Crypto Scams: Bored Ape Yacht Club, Azuki and Other Projects Impersonated to Steal NFTs, Digital Currencies. Tenable. https://www.tenable.com/blog/twitter-crypto-scams-bored-ape-yacht-club-azuki-and-other-projects-impersonated-to-steal-nfts
