La compañía de seguridad, Check Point Research, ha revelado cómo los estafadores desconfiguran los smart contracts para crear tokens fraudulentos. El estudio detalla el método que están utilizando para robar dinero a los usuarios y muestra ejemplos de errores de configuración de los smart contracts que dar lugar a estafas económicas. Los hallazgos se basan en investigaciones anteriores de CPR sobre las criptodivisas. El pasado mes de octubre, CPR identificó el robo de carteras en OpenSea, el mayor mercado de NFT del mundo. Y en noviembre, los investigadores revelaban que los ciberdelincuentes estaban utilizando campañas de phishing en motores de búsqueda para robar medio millón de dólares en cuestión de días.
Las mismas fuentes indican que, en 2021, se registró un máximo histórico de delitos relacionados con las criptomonedas en el que los estafadores robaron 14.000 millones de dólares. El aumento de los fraudes y las amenazas está relacionado con el inmenso crecimiento de esta actividad en todo el mundo.
Los últimos comunicados y avances de las empresas muestran un mayor interés por las criptodivisas. Por ejemplo, PayPal está considerando el lanzamiento de su propia criptomoneda, Facebook ha cambiado su nombre por el de Meta, y MasterCard ha anunciado que los socios de su red pueden permitir a sus consumidores comprar, vender y mantenerlas utilizando un monedero digital.
Además, Disney quiere construir un metaverso, Nike compró una empresa de NFT, los clientes de Starbucks ya pueden utilizar la nueva aplicación Bakkt para pagar en las cafeterías de la cadena con bitcoin convertido. Además, Microsoft está construyendo su metaverso, Visa ha confirmado que está llevando a cabo un piloto con Crypto.com para aceptar criptodivisas para liquidar transacciones en su red de pagos. Adidas se unió al metaverso a través de NFT. Los fondos están fluyendo hacia este formato, por lo que no es de extrañar que los atacantes tengan como objetivo esta nueva forma de pago.
Recientemente, la BBC informaba de que un token llamado SQUID robó 3,38 millones de dólares a los criptoinversores en una estafa a gran escala. Un token es una moneda similar a bitcoin y Ethereum, pero algunos de los proyectos se crean para innovar y construir nuevas tecnologías, mientras que otros están ahí con fines fraudulentos.
Cómo identificar estafas relacionadas con las criptomonedas
La investigación indaga en cómo los ciberdelincuentes han creado tokens para estafar a los consumidores y ofrece consejos sobre cómo identificar estas estafas:
- Algunos tokens contienen una tasa de compra del 99% que permite robar todo el dinero en la fase de compra.
- Algunos de los tokens no dejan al comprador revender (SQUID Token) de forma que el único autorizado a vender es el propietario.
- Otros tokens implican una comisión de venta del 99%, lo que significa que en la fase de venta le quitarán todo su dinero.
- Y existen otros que no son maliciosos, sino que tienen vulnerabilidades de seguridad en el código fuente del contrato y pierden sus fondos a manos de los ciberdelincuentes que explotan las vulnerabilidades.
Cómo desconfigurar los smart contracts
- Para crear tokens fraudulentos: los ciberdelincuentes desconfiguran los llamados contratos inteligentes, programas almacenados en blockchain que se ejecutan cuando se cumplen unas condiciones predeterminadas. Check Point Research describe los pasos que siguen los atacantes para aprovecharse de este tipo de contratos.
- Manipulan las funciones: con la transferencia de dinero, impidiendovender, o aumentar la cantidad de la cuota. La mayoría de las manipulaciones se producen cuando se transfiere el dinero.
- Crean un hype a través de las redes sociales: abriendo canales Twitter/Discord/Telegram, sin revelar su identidad o utilizando la imagen falsa de otras personas, y empezarán a dar bombo al proyecto para que el público empiece a comprar.
- «Retirada del dinero»: una vez alcanzada la cantidad de dinero que quieren, retirarán de todo el dinero del contrato, y borrarán todos los canales de las redes sociales.
- Omiten los timelocks: por lo que no se verá que esos tokens bloqueen una gran cantidad de dinero en la reserva de contratos, ni tampoco que añadan timelocks. Los timelocks se utilizan sobre todo para retrasar las acciones administrativas y generalmente se consideran un fuerte indicador de que un proyecto es legítimo.
