Revelando la industrialización de los ataques de phishing en el mundo de la encriptación

A partir de junio de 2024, el equipo de seguridad ha monitoreado un gran número de transacciones de phishing/agotamiento de fondos similares, con un monto involucrado que supera los 55 millones de dólares solo en junio. En agosto y septiembre, la actividad de las direcciones de phishing aumentó aún más, y los ataques de phishing se intensificaron. En el tercer trimestre de 2024, los ataques de phishing se han convertido en el medio de ataque que causa la mayor pérdida económica, con los atacantes obteniendo más de 243 millones de dólares en 65 operaciones.

El análisis muestra que los recientes ataques de phishing que han ocurrido con frecuencia probablemente estén relacionados con el infame equipo de herramientas de phishing. Este equipo había anunciado a finales de 2023 su "jubilación" de manera ostentosa, pero ahora parece estar nuevamente activo, desatando una serie de ataques a gran escala.

Este artículo analizará los métodos de operación de bandas típicas de phishing y enumerará detalladamente sus características de comportamiento, para ayudar a los usuarios a mejorar su capacidad para identificar y prevenir fraudes de phishing.

Modelo de fraude como servicio

En el mundo de la encriptación, ciertos equipos han inventado un nuevo patrón malicioso, llamado "fraude como servicio". Este patrón empaqueta herramientas y servicios de fraude y los ofrece de manera comercial a otros delincuentes. Desde noviembre de 2022 hasta noviembre de 2023, cuando anunciaron por primera vez el cierre del servicio, el monto de su fraude superó los 80 millones de dólares.

Estos equipos ayudan a los compradores a iniciar ataques rápidamente al proporcionar herramientas de phishing y infraestructura listas para usar, incluidos sitios web de phishing, contratos inteligentes y cuentas de redes sociales. Los phishers que compran el servicio retienen la mayor parte de las ganancias mal obtenidas, mientras que los equipos que ofrecen el servicio cobran una comisión del 10% al 20%. Este modelo reduce significativamente la barrera técnica para el fraude, haciendo que el cibercrimen sea más eficiente y escalable, lo que resulta en una proliferación de ataques de phishing en el sector de la encriptación, especialmente entre aquellos usuarios que carecen de conciencia de seguridad, quienes son más propensos a convertirse en objetivos de ataque.

Cómo funciona el fraude como servicio

Antes de presentar este modelo de servicio, primero podemos entender el flujo de trabajo típico de una aplicación descentralizada (DApp). Una DApp típica generalmente consiste en una interfaz frontal (como una página web o una aplicación móvil) y contratos inteligentes en la blockchain. Los usuarios se conectan a la interfaz frontal de la DApp a través de una billetera de blockchain, la página frontal genera la transacción correspondiente de blockchain y la envía a la billetera del usuario. Luego, el usuario utiliza la billetera de blockchain para firmar y aprobar la transacción, una vez completada la firma, la transacción se envía a la red de blockchain y se invoca el contrato inteligente correspondiente para ejecutar la función requerida.

Entonces, ¿cómo logran los atacantes de phishing engañar a los usuarios para robar sus fondos? La respuesta radica en que diseñan interfaces frontales maliciosas y contratos inteligentes que inducen astutamente a los usuarios a realizar operaciones inseguras. Los atacantes suelen guiar a los usuarios a hacer clic en enlaces o botones maliciosos, engañándolos para que aprueben algunas transacciones ocultas y maliciosas, e incluso, en algunos casos, engañarlos directamente para que revelen su propia clave privada. Una vez que el usuario firma estas transacciones maliciosas o expone su clave privada, el atacante puede transferir fácilmente los activos del usuario a su propia cuenta.

A continuación se presentan algunos de los medios más comunes:

1. Frentes falsificados de proyectos conocidos: los atacantes crean interfaces frontales que parecen legítimas imitadas cuidadosamente de los sitios web oficiales de proyectos conocidos, haciendo que los usuarios piensen que están interactuando con un proyecto de confianza, lo que les lleva a bajar la guardia, conectar sus billeteras y realizar operaciones inseguras.

2. Esquemas de airdrop de tokens: Promocionan en las redes sociales sitios de phishing, afirmando tener oportunidades muy atractivas como "airdrop gratuito", "venta anticipada", "acuñación gratuita de NFT", etc., para atraer a las víctimas a hacer clic en los enlaces. Una vez que las víctimas son atraídas al sitio de phishing, a menudo se conectan a su billetera y aprueban transacciones maliciosas sin darse cuenta.

3. Eventos de hackeo falsos y estafas de recompensas: los delincuentes cibernéticos afirman que un conocido proyecto ha sufrido un ataque de hackers o que sus activos han sido congelados, y que ahora están otorgando compensaciones o recompensas a los usuarios. Atraen a los usuarios a sitios de phishing a través de estas falsas emergencias, engañándolos para que conecten sus billeteras y, en última instancia, roban los fondos de los usuarios.

Se puede decir que el phishing no es un método nuevo, ya que era bastante común antes de 2020, pero este modelo de servicio ha sido en gran medida el mayor impulsor del aumento del phishing en los últimos dos años. Antes de la aparición de este modelo, los atacantes de phishing necesitaban preparar fondos de inicio en la cadena, crear un sitio web frontend y un contrato inteligente para cada ataque. Aunque la mayoría de estos sitios de phishing eran de baja calidad, podían recrear nuevos proyectos de fraude simplemente utilizando un conjunto de plantillas y realizando modificaciones simples, la operación del sitio y el diseño de la página aún requerían un cierto nivel de habilidad técnica. Y estos proveedores de herramientas han eliminado completamente la barrera técnica del phishing, ofreciendo a los compradores sin las habilidades técnicas necesarias servicios para crear y alojar sitios web de phishing, y extrayendo beneficios de las ganancias del fraude.

Revelación: ¿Cuáles son los pasos necesarios para crear un sitio web de phishing?

Después de ver cómo estos equipos se reparten el botín, veamos cuán fácil es para un atacante crear un sitio web de phishing con la ayuda de este modelo de servicio.

El primer paso, una vez que entres en el canal de comunicación proporcionado, solo necesitas un simple comando, se crea un dominio gratuito y su dirección IP correspondiente.

El segundo paso es elegir uno de los cientos de plantillas proporcionadas por el robot, luego ingresar al proceso de instalación, y después de unos minutos, se habrá creado una interfaz que parece un sitio web de phishing.

El tercer paso es buscar víctimas. Una vez que una víctima entra en el sitio web, cree en la información fraudulenta en la página y apruebe una transacción maliciosa conectando su billetera, los activos de la víctima serán transferidos. Y con la ayuda de este servicio, el atacante puede crear un sitio web de phishing como este en solo tres pasos, y el tiempo que toma es solo de unos minutos.

Resumen y Reflexiones

El regreso de esta herramienta de phishing sin duda ha traído grandes riesgos de seguridad para los usuarios de la industria, gracias a sus potentes funciones y métodos de ataque encubiertos, así como a los costos del crimen extremadamente bajos, convirtiéndose en una de las herramientas preferidas por los delincuentes cibernéticos para llevar a cabo ataques de phishing y robo de fondos.

Los usuarios deben mantenerse alerta al participar en el comercio de encriptación, recordando los siguientes puntos:

• No hay almuerzo gratis: No creas en ninguna promoción de "regalos caídos del cielo", como los sospechosos airdrops gratuitos o compensaciones, confía solo en los sitios web oficiales o en proyectos que hayan pasado por servicios de auditoría profesional.
• Verifica la conexión de red constantemente: Antes de conectar tu billetera a cualquier sitio web, revisa cuidadosamente la URL para ver si imita a proyectos conocidos y trata de usar herramientas de consulta de dominios WHOIS para verificar la fecha de registro. Los sitios web con un tiempo de registro muy corto son propensos a ser proyectos fraudulentos.
• Proteger la información de privacidad: No envíes tu frase de recuperación ni tu clave privada a ningún sitio web o aplicación sospechosa. Antes de que la billetera solicite firmar cualquier mensaje o aprobar una transacción, verifica cuidadosamente si esa transacción es un Permit o Approve que podría causar la pérdida de fondos.
• Esté atento a las actualizaciones sobre información de fraude: siga las cuentas oficiales de redes sociales que publican alertas periódicas. Si descubre que ha autorizado tokens a una dirección de fraude, retire la autorización a tiempo o transfiera los activos restantes a otra dirección segura.