Un solo NFT en tu cartera — y ahora no tienes ni tokens ni acceso

El FBI emitió una advertencia sobre un nuevo esquema de estafa dirigido a usuarios de la red de criptomonedas Hedera Hashgraph. Los atacantes están utilizando el envío masivo de tokens NFT como señuelo para acceder a los monederos de las víctimas y robar la criptomoneda almacenada.

El mecanismo de los airdrops, originalmente diseñado para promocionar proyectos y fomentar la actividad en comunidades cripto, se ha convertido en una herramienta de ataque conveniente. La distribución ocurre mediante el envío de tokens no solicitados o NFTs, que aparecen automáticamente en el monedero del usuario. Estos van acompañados de un breve mensaje en el campo «memo», normalmente con un enlace externo que promete “reclamar una recompensa”, “participar en un evento” o “confirmar la recepción del token”.

Al hacer clic en el enlace, el usuario es redirigido a una página de phishing o a una aplicación descentralizada falsa (dApp), que imita la interfaz de un monedero o una plataforma de intercambio. Allí se solicita introducir información sensible: nombre de usuario, contraseña, frase semilla para recuperar acceso, código de un solo uso o claves privadas. Esta información es inmediatamente enviada a los atacantes, quienes la utilizan para tomar control total del monedero de la víctima.

Hedera Hashgraph es una red descentralizada basada en una tecnología de libro mayor distribuido de nueva generación, fundamentalmente distinta de las cadenas de bloques tradicionales. En lugar de bloques secuenciales, utiliza una estructura llamada "hashgraph", basada en un protocolo de chismes (gossip protocol) y un mecanismo de votación virtual para alcanzar consenso entre los nodos de la red. Este enfoque permite una mayor velocidad de procesamiento de transacciones, escalabilidad y eficiencia energética. Presentada en 2018 como una alternativa a los sistemas blockchain existentes, su creciente popularidad la ha convertido en un objetivo cada vez más común para los delincuentes.

El FBI señala que, además de los falsos airdrops, los estafadores también difunden enlaces maliciosos mediante correos de phishing, anuncios en redes sociales y sitios web falsos que imitan plataformas cripto legítimas. Esta campaña multicanal crea una apariencia de legitimidad y aumenta la probabilidad de éxito del ataque.

Los expertos recomiendan verificar siempre la autenticidad de los anuncios de distribución de tokens a través de los canales oficiales del proyecto. Bajo ninguna circunstancia se debe utilizar la información de contacto que aparezca en correos, enlaces o ventanas emergentes — tales datos pueden dirigir directamente a los estafadores. Es preferible buscar direcciones y teléfonos oficiales en el sitio web del proyecto o a través de fuentes verificadas.

Durante el proceso de recepción o creación de un NFT, está terminantemente prohibido introducir frases semilla, claves privadas, contraseñas o códigos de un solo uso, a menos que el usuario haya iniciado la operación de forma consciente. Incluso si la interfaz del sitio o dApp parece familiar y segura, una sola entrada de información de más puede costar todos los fondos del monedero.

También es importante revisar periódicamente la actividad en los monederos de criptomonedas, incluyendo historial de accesos, transacciones recientes y cualquier intento de acceso no autorizado. Toda actividad sospechosa, especialmente la aparición inesperada de NFTs, debe generar una alerta inmediata.

Si el usuario sospecha que su cuenta ha sido comprometida, debe contactar de inmediato con el proveedor del monedero o la plataforma de intercambio para suspender el acceso y tratar de evitar el retiro de fondos. Luego, debe enviar la información del incidente al Centro de Quejas sobre Delitos en Internet (IC3) del FBI. En la denuncia se recomienda incluir las direcciones de criptomonedas, identificadores únicos de transacciones, fechas y montos, así como enlaces a los sitios sospechosos con los que se haya interactuado.

El creciente interés en Hedera Hashgraph la hace atractiva no solo para desarrolladores e inversores, sino también para ciberdelincuentes. Los modernos esquemas de phishing se camuflan cada vez más como mecanismos legítimos de la economía descentralizada, y detectarlos se vuelve cada vez más difícil — especialmente en un entorno donde los NFT y los airdrops son tan populares.