hack

$BTC $ETH $USDC
Una persona entra a reclamar 200 dólares en criptomonedas que se gano. Minutos después descubre que desaparecieron los 3.000 que tenía guardados...
No descargó ningún virus. No compartió su contraseña. Tampoco reveló sus 12 palabras de recuperación.
Lo que ocurrió fue diferente: terminó concediendo un permiso que permitió a un tercero transferir sus activos.
Esta modalidad se conoce como Wallet Drainer y combina ingeniería social, páginas fraudulentas y funciones legítimas de los contratos inteligentes.
Veamos cómo sucede, paso a paso, con un ejemplo concreto.
PASO 1. LA PUBLICACIÓN QUE ATRAPA A LA VÍCTIMA
Todo comienza con una publicación en redes sociales que anuncia una recompensa de por ejemplo 200 USDC para determinados usuarios.
El enlace conduce a una página que imita un proyecto de criptomonedas. Tiene imágenes profesionales, un contador regresivo y un botón que dice: Reclamar recompensa....
El usuario ingresa convencido de que está participando en una promoción.
PASO 2. LA CONEXIÓN DE LA BILLETERA
La página solicita conectar una wallet, por ejemplo, MetaMask... La víctima acepta.
En ese momento, el sitio puede conocer su dirección pública y consultar los activos que posee en la blockchain.
Supongamos que encuentra 3.000 USDC.
Hasta acá, conectar la billetera no autoriza por sí solo a retirar esos fondos. El peligro aparece en el siguiente paso.
PASO 3. EL PERMISO DISFRAZADO DE VERIFICACIÓN
Para reclamar los supuestos 200 USDC, la página solicita confirmar una operación.
La billetera muestra una autorización relacionada con un contrato inteligente.
La víctima cree que está habilitando la recepción del premio. Sin embargo, la operación puede contener una autorización de gasto sobre sus USDC.
En Ethereum existe una función llamada approve, que permite establecer cuánto puede gastar una dirección o contrato autorizado, denominado spender.
Por ejemplo, el permiso podría habilitar al destinatario a mover hasta 10.000 USDC.
El usuario tiene solamente 3.000, pero el límite autorizado es superior.
Confirma la operación y esta queda registrada en la blockchain.
ACÁ SE PRODUCE EL ERROR DECISIVO: NO AUTORIZÓ LA RECEPCIÓN DE UN PREMIO. AUTORIZÓ QUE OTRO PUDIERA MOVER SUS TOKENS.
PASO 4. EL DRAINER EJECUTA EL ROBO
Una vez confirmado el permiso, el sistema malicioso puede detectar que ya dispone de una autorización válida.
El atacante, o un contrato bajo su control con los permisos necesarios, utiliza otra función denominada transferFrom.
¿Para qué sirve?
Para transferir tokens desde una billetera que previamente autorizó ese gasto.
En nuestro ejemplo, se ejecuta una transferencia de 3.000 USDC desde la billetera de la víctima hacia una dirección controlada por los delincuentes.
La víctima no necesita confirmar nuevamente esa transferencia... El permiso anterior permite realizarla.
Cuando la operación se confirma en la red, los tokens cambian de dirección.
PASO 5. EL USUARIO DESCUBRE LO QUE PASÓ
La página puede mostrar un error, quedarse cargando o simplemente no entregar ningún premio.
La víctima vuelve a consultar su billetera y encuentra que sus 3.000 USDC desaparecieron.
Lo más inquietante es que el permiso podría continuar vigente si todavía tiene capacidad de gasto disponible.
Si posteriormente recibe nuevos USDC, esos fondos también podrían quedar expuestos.
Pero hay una precisión importante: autorizar USDC no significa automáticamente autorizar ETH, Bitcoin o todos los demás activos. Cada autorización tiene un alcance determinado.
¿Y LAS FIRMAS QUE NO REQUIEREN PAGAR COMISIONES?
Existe otra variante que utiliza mecanismos como permit o Permit2.
En determinadas condiciones, el delincuente puede conseguir una firma criptográfica fuera de la blockchain y utilizarla posteriormente para ejecutar una transferencia autorizada.
Esto hace especialmente peligrosos ciertos mensajes de firma que parecen simples verificaciones.
No todas las firmas permiten mover fondos. Su contenido y los permisos involucrados son determinantes.
¿CÓMO EVITARLO?
Antes de confirmar, verificá qué token se está autorizando, qué dirección recibirá el permiso y cuál es el límite de gasto.
Nunca concedas permisos ilimitados a aplicaciones desconocidas.
Revisá las autorizaciones existentes mediante herramientas como Revoke.cash o MetaMask Portfolio. Si encontrás permisos sospechosos, revocalos cuanto antes.
Desconectar una página de tu billetera no equivale a revocar sus permisos. Y una revocación no recupera dinero ya transferido.
🧠 Esto... Es simple....
El Crypto Drainer demuestra que una operación puede ser técnicamente válida y, al mismo tiempo, formar parte de una estafa.
La blockchain registra que una dirección concedió un permiso. No puede determinar, por ese solo hecho, si su titular comprendió realmente lo que estaba autorizando.
El delincuente aprovecha justamente esa diferencia.
La víctima cree que está haciendo clic para recibir dinero. En realidad, puede estar autorizando el mecanismo que permitirá quitárselo.
Y cuando comprende la diferencia, la transferencia puede haberse ejecutado y los fondos estar fuera de su control....
🎥 Querés más tips locos para protegerte ??? Entonces SUSCRIBITE!
#CRİPTO #estafas #hack