Ingeniería social en las estafas de criptomonedas

La imagen estereotipada de un hacker robando criptomonedas sacada directamente de Hollywood: una figura oscura encapuchada frente al teclado, atravesando firewalls periféricos y vulnerando sofisticados algoritmos de cifrado con código artesanal. Es una visión puramente técnica de lo que es el cibercrimen. La verdad suele ser mucho más prosaica y, francamente, humana.

Existen ataques técnicos que se pueden ejecutar, por supuesto, pero se roban muchas más criptomonedas no vulnerando la blockchain, sino quebrando al usuario. Este es el terreno de la ingeniería social: la práctica de manipular a las personas para que divulguen información confidencial o realicen acciones que no les convienen. No se trata de hackeos de día cero (zero-day), sino de viejos trucos de salón, timos de confianza y de conocer los puntos ciegos de la psicología humana.

En el salvaje oeste de los activos digitales —donde las transacciones son irreversibles y las personas pueden operar fuera del alcance de la policía o los tribunales si así lo desean, y donde el anonimato es un valor muy preciado— los seres humanos son el eslabón más débil. Los estafadores saben que el trabajo necesario para hackear una red descentralizada es mucho más difícil que hackear la confianza, el miedo o la codicia de una persona. De cualquier manera, al entrar simplemente pidiendo al usuario que abra la puerta, estos actores maliciosos han eludido incluso los controles de seguridad más estrictos al emplear el comportamiento humano en lugar de la tecnología.

En este artículo, analizaremos los métodos de ingeniería social más comunes que afectan actualmente a la comunidad cripto, nos centraremos en las bases psicológicas que explotan y propondremos formas de protegerse contra ellos.

Estafas a largo plazo y la trampa de la confianza

“Sha zhu pan”, o “matanza del cerdo” (pig butchering) en mandarín, es una de las muchas formas nuevas de ingeniería social que los internautas en China utilizan para describir los esquemas con los que se encuentran.

Esta metáfora ilustra claramente el proceso: la víctima es el «cerdo» al que se ha «engordado» con halagos, amistad y falsos rendimientos de inversión antes de ser «sacrificado» para arrebatarle todo lo que posee. A diferencia de las operaciones de phishing de tipo «golpe y fuga», este es un juego a largo plazo que depende de explotar el deseo psicológico de conexión y el desgaste gradual del escepticismo.

A menudo resulta inocuo en las etapas iniciales: un mensaje de texto a un número equivocado, un mensaje directo en redes sociales o incluso un encuentro a través de amigos. El estafador no aborda directamente el tema de las criptomonedas. En su lugar, busca establecer una relación. Podría fingir ser un emprendedor con una carrera exitosa, o un profesional que se siente solo o que está de viaje.

A lo largo de semanas o meses, desarrollan una relación real con la víctima. Intercambian fotos de las comidas que están ingiriendo, charlan sobre sus aficiones y empatizan con los problemas personales de la víctima. Esta fase tiene como objetivo derribar las defensas del afectado. Existe un mandato biológico de confiar en aquellos con quienes entramos en contacto frecuentemente, especialmente si esa persona parece genuinamente interesada en nuestras vidas.

Una vez que se han ganado cierto grado de confianza, los estafadores suelen sacar a relucir el tema del dinero, pero nunca de forma directa. Pueden mencionar casualmente una «gran ganancia» que obtuvieron en el mercado o publicar una captura de pantalla de una compra extravagante realizada con los beneficios del trading. La trampa se cierra cuando la víctima muestra interés. Y en lugar de actuar como un vendedor, el estafador se presenta como un mentor que realmente no quiere ayudar: «Te mostraré un poco lo que hice y cómo me funcionó esa parte». Instruyen a la víctima para que deposite dinero en una plataforma de trading falsa que parece real, emulando a menudo la interfaz de exchanges populares.

Para que el timo sea convincente y crear una «pequeña victoria», el estafador a veces también orquesta lo siguiente: instan a la víctima a invertir una suma modesta de dinero y luego a retirar su primera ganancia. Este es el gancho psicológico. El cerebro de la víctima se inunda de dopamina; las dudas se desvanecen, reemplazadas por un subidón provocado por la posibilidad de dinero fácil y el aprecio por su nuevo amigo. La víctima cree que el engaño es legítimo y termina depositando los ahorros de toda su vida con total confianza. Solo cuando intentan retirar la enorme suma se enfrentan a la realidad: han sido víctimas de catfishing y el dinero solo existe como números en la pantalla de una computadora, al igual que su inexistente amigo.

Contramedida: Para evitar ser manipulado por una conexión emocional tan profunda, debe ser estricto consigo mismo y mantener su vida social completamente separada de sus decisiones financieras. La regla de oro es sencilla: los desconocidos en internet no quieren hacerle rico. Si tiene un nuevo amigo en línea o un interés romántico que habla de inversiones, active las alarmas de inmediato. Realice una búsqueda inversa de imágenes de cualquier foto que le envíen; los estafadores suelen utilizar fotos robadas de modelos atractivos o influencers populares. Insista en realizar una videollamada al principio del cortejo. El hecho de que le pidan llevar dinero a una plataforma que, de ser capaz de existir, solo puede prosperar gracias a la especulación, debería hacerle reflexionar. Simplemente no mueva nada de dinero —en absoluto— a ninguna parte sin conocer cara a cara a alguien que diga tener el poder de hacerle rico. Si tiene dudas, intente retirar su dinero. Si hay alguna excusa o se requiere un “impuesto” para retirar, interrumpa toda comunicación: es una estafa.

La trampa de la autoridad y la urgencia de la crisis

Otro recurso potente es la inclinación natural del público a obedecer a la autoridad y la tendencia de los seres humanos a entrar en pánico ante una crisis. Aprovechando esto, los estafadores se hacen pasar por el equipo de soporte de exchanges, proveedores de monederos o incluso departamentos gubernamentales. La estrategia consiste en crear un estado mental caótico de gran ansiedad en el que el pensamiento se paraliza.

Supongamos que intenta enviar USDT a un amigo y, por alguna razón, la transacción parece estar bloqueada. Busca un número de soporte o publica un tuit sobre el problema. Casi al instante, una cuenta "atenta" responde o usted se topa con un número de teléfono que parece ser oficial. La voz al otro lado es profesional, calmada y autoritaria. Le dicen que su dinero está "atrapado" o que su cuenta está "comprometida" y que debe actuar rápido para salvar lo que tiene.

Y esta urgencia no es real; está ahí para presionarle a hacer algo sin siquiera pensarlo. El "agente de soporte" puede indicarle que descargue un software de escritorio remoto para poder "solucionar" el problema o que le entregue su frase semilla (seed phrase) para poder "verificar" que usted es el dueño del monedero. Usted también tiene miedo de perder su dinero, y esta persona suena inteligente, así que sigue las instrucciones. Ningún agente de soporte real le pediría jamás su frase semilla ni requeriría acceso remoto a su ordenador.

Ahora existe una nueva y aterradora capa en esta herramienta: la tecnología Deepfake. Ahora, los estafadores aparentemente pueden usar IA para replicar las voces de directores ejecutivos (CEO) u otros altos cargos en los que usted confía, dejando mensajes de voz e incluso realizando llamadas en vivo imposibles de distinguir de las realizadas con los dispositivos habituales del CEO. Esto es el sesgo de autoridad llevado al siguiente nivel. Si escucha a una figura conocida diciéndole que envíe dinero a una dirección para un "sorteo" (giveaway) o una "actualización de emergencia", su cerebro está programado para creerles.

Contramedida: El único antídoto eficaz contra los ataques basados en la autoridad es una postura de "confianza cero" (zero-trust) ante cualquier comunicación entrante. Si alguien le llama afirmando ser de su banco o de su plataforma de intercambio de criptomonedas (exchange), no responda; cuelgue.

Si recibe un correo electrónico que indica que su cuenta está bloqueada, no haga clic en el enlace. En su lugar, acceda al sitio web oficial a través de sus propios marcadores (no haciendo clic en un enlace de un motor de búsqueda o de un mensaje) y póngase en contacto con el soporte técnico a través de su canal oficial. No olvide que las organizaciones legítimas no funcionan en tiempo real y nunca le pedirán que permanezca en línea o que apresure su respuesta en cuestión de segundos bajo la amenaza de perder su dinero. Con respecto a las frases semilla, considérelas como la combinación de una caja fuerte física: no existe ninguna situación, técnica o de otro tipo, en la que un agente necesite esa combinación para ayudarle. Si se la piden, le están tomando por tonto.

Phishing de firmas invisibles y de aprobación

A medida que el espacio cripto se desplazó hacia las finanzas descentralizadas (DeFi), los estafadores se han adaptado aprovechando la complejidad de la interacción entre los contratos inteligentes. Este enfoque, también conocido como "phishing de aprobación" o ataques de "vaciado" (drainer), aprovecha específicamente el desconocimiento técnico del usuario sobre lo que realmente está autorizando.

En este caso, un usuario podría terminar en un sitio idéntico a un mercado de NFT o protocolo DeFi popular. Podría verse tentado por la promesa de un "airdrop" gratuito (un término utilizado en la industria para referirse a tokens gratuitos) o una oportunidad exclusiva de "minteo" (acuñación). El sitio solicita al usuario que conecte su billetera y firme una transacción cuando esté listo para reclamar la recompensa.

La ventana emergente dentro de la billetera suele ser un muro de jerga técnica incomprensible. La gran mayoría de los usuarios, condicionados por años de Términos de Servicio ininteligibles y una actitud de hacer clic en "Acepto", pulsará el botón grande de "Confirmar" para obtener su recompensa. Sin embargo, no están firmando un simple mensaje de inicio de sesión. Por lo general, se trata de una función "SetApprovalForAll" o de la firma "Permit".

En términos sencillos: esta firma le otorga al contrato inteligente del estafador carta blanca para transferir la totalidad de un activo específico (como USDT o NFT) fuera de la billetera del usuario, sin necesidad de confirmaciones adicionales.

La psicología aquí combina la codicia (el airdrop gratuito) y la “indefensión aprendida” ante las interfaces técnicas. Los usuarios asumen que, dado que aún conservan su frase semilla, pueden recuperar su dinero. Lo que no comprenden es que una firma digital puede ser tan perjudicial como entregar las llaves. El estafador no tiene por qué conocer la frase semilla, al menos no si has firmado involuntariamente una autorización que le permite vaciar la bóveda.

Contramedida: La defensa contra este tipo de phishing de aprobación consiste en cambiar la percepción sobre cómo las billeteras ejercen sus permisos. Nunca trates la firma de una billetera como algo similar a pulsar un botón de "inicio de sesión" o "confirmación". Es algo parecido a un contrato legal ante notario, pero en la blockchain. Antes de confirmar cualquier transacción, lee siempre los detalles. Busca términos como "Approve", "SetApprovalForAll" o "Permit". Si intentas reclamar un objeto gratuito y la transacción solicita tu permiso para acceder a tus USDT u otros tokens, deniégalo. Una forma de hacerlo es utilizar una “burner wallet” (billetera desechable): una en la que solo guardes pequeñas cantidades de dinero y que uses solo para sitios nuevos o sospechosos. Esto crea un cortafuegos: si cometes un error y firmas un contrato malicioso, el estafador solo podrá llevarse el "dust" que haya en tu billetera desechable, no todos tus ahorros. También puedes apoyarte en extensiones de navegador que traduzcan los datos de la transacción en advertencias legibles para humanos, indicándote si una firma parece ser un "wallet drainer" (vaciador de billeteras).

Error de coincidencia de patrones y envenenamiento de direcciones

Uno de los hackeos más insidiosos depende de la forma en que el cerebro humano procesa la información para un consumo rápido. Y cuando los usuarios copian y pegan direcciones de criptomonedas, rara vez revisan todos esos dígitos y letras aleatorios para asegurarse de que la dirección sea correcta. En su lugar, suelen fijarse en los primeros cuatro o cinco caracteres y en los últimos cuatro o cinco. Los estafadores comprenden este atajo mental y lo manipulan mediante el "envenenamiento de direcciones" (address poisoning).

En esta estafa, el defraudador monitorea la blockchain en busca de personas que estén activas en ese momento. Cuando detectan a un usuario realizando una transferencia —por ejemplo, enviando una gran cantidad de USDT a su propia billetera fría (cold wallet) personal—, el estafador utiliza un software capaz de generar una "dirección vanity" que coincide casi por completo con el destino previsto. Esta dirección falsa tendrá los mismos caracteres iniciales y finales que la dirección real, pero será diferente en la parte intermedia.

Tras generar esa dirección similar, el defraudador envía una transacción de 0 USDT (o una cantidad cercana) desde esta dirección falsificada a la billetera de la víctima. Esta transacción queda reflejada en el historial de la víctima. La próxima vez que la víctima desee enviar USDT a su billetera fría, es posible que abra el historial y pegue la dirección más reciente, ya que probablemente sea la que usó por última vez. Mientras el principio y el final coincidan con lo que recuerda, no notará la diferencia. Inicia la operación, paga las comisiones de USDT como de costumbre y deposita directamente en el "agujero negro" de la billetera del estafador.

Esto aprovecha la "ceguera por falta de atención" y el camino de menor resistencia. La víctima no es "hackeada" de forma sistémica en el sentido tradicional; se le engaña para que se hackee a sí misma. La teoría del estafador es: nadie se dará cuenta; contamos con la pereza y con los patrones de autocompletado.

Contramedida: La respuesta al envenenamiento de direcciones es la validación. ¡Nunca, bajo ninguna circunstancia, copies una dirección de tu historial de transacciones!

Es un libro de contabilidad público en el que cualquiera puede escribir, incluidos los estafadores. Nunca debe confiar únicamente en los primeros o últimos caracteres de una dirección al realizar una validación. Examine alguna secuencia aleatoria en medio de la cadena o, mejor aún, cada uno de los caracteres. La mejor forma de hacerlo es utilizando la función de libreta de direcciones de su billetera. Ponga en la lista blanca sus direcciones de confianza. También puede asignar nombres diferentes a las direcciones. De esa manera, estará eligiendo un lugar de confianza en lugar de un registro posiblemente envenenado.

Seguridad en un mundo de confianza cero

Lo que todas estas tácticas tienen en común es que subvierten la seguridad técnica hackeando el "sistema operativo humano". Ya sea el tirón emocional de una estafa romántica, las tácticas de falsa presión de tiempo empleadas por un suplantador de soporte técnico, el laberinto deliberadamente intrincado de engaños que se encuentra en un contrato fraudulento o las imágenes que engañan en un ataque de envenenamiento de direcciones (address poisoning), todo se trata de lograr que alguien actúe y trabaje en su propia contra.

La defensa requiere un cambio de mentalidad. En el mundo tradicional de las finanzas, los bancos sirven como red de seguridad, alertando y revirtiendo cargos no autorizados. En el mundo cripto, usted es el banco. No Todas las transferencias de USDT en la red TRON implican el consumo de ciertos recursos de red, como Energía y Ancho de Banda. En caso de que la billetera de un usuario no disponga de Energía, la red quemará sus TRX para pagar por ella, lo cual suele ser entre 14 y 20 veces más costoso.

La herramienta Netts permite al usuario ingresar la dirección del remitente y la del destinatario para estimar la cantidad exacta de recursos necesarios para el envío. Esto revela una discrepancia de costos importante: las transferencias a un destinatario con un saldo positivo de USDT queman aproximadamente 13,84 TRX, mientras que las quemas relacionadas con transferencias a una billetera fría (es decir, una dirección que no posee USDT en absoluto) son mucho más costosas desde la perspectiva computacional, quemando alrededor de 27,70 TRX. Con esta calculadora (y también una API para desarrolladores), los usuarios pueden saber si es un buen momento para alquilar Energía. Para su información, alquilar Energía cuesta solo entre 2-3 o 4-5 TRX, lo que supone un ahorro de más del 80% en comparación con simplemente quemar TRX. Esta rápida comprobación garantiza que no esté pagando de más en comisiones de red, manteniendo al mismo tiempo la rapidez de las transferencias.