En el mundo de Web3, ya seas un jugador común, un inversor de alto patrimonio o parte de un proyecto, uno de los riesgos inevitables son las estafas.
Según el informe de Chainalysis (El Informe de Crimen Cripto 2025), el total de crímenes en cadena a nivel mundial alcanzó los 24 mil millones de dólares en 2024, de los cuales:
El volumen de transacciones relacionadas con el fraude alcanzó los 9.9 mil millones de dólares, siendo especialmente frecuentes las estafas de 'pérdida de dinero', sitios de phishing y proyectos de inversión falsos;
El monto total robado supera los 2.2 mil millones de dólares, más del 60% proviene de la filtración de claves privadas y phishing de ingeniería social;
Los delitos como ransomware y manipulación del mercado también son comunes.
Pero al revisar estos casos, notarás una característica común que merece atención: no importa cuán avanzada sea la tecnología, el punto de quiebre final es la 'naturaleza humana' misma.
Así es, el "arma estándar" del crimen en cadena es precisamente de lo que Portal Labs está hablando: ataques de ingeniería social.
¿Qué es un ataque de ingeniería social?
La realidad nos dice que lo más fácil de romper no es la tecnología, sino la naturaleza humana.
Este es el núcleo del ataque de ingeniería social.
Los ataques de ingeniería social no dependen de vulnerabilidades a nivel de código, sino que se basan en el disfraz, la inducción y el control, engañándote para que entregues voluntariamente información sensible o realices operaciones peligrosas.
En comparación con los ataques técnicos de alto nivel, los ataques de ingeniería social tienen un costo bajo y una alta tasa de éxito; ya sea fraude, robo de fondos o extorsión, el primer paso de la mayoría de los casos es hacer que tú mismo hagas clic en "confirmar".
Resumiendo todos los trucos de la ingeniería social, en realidad se basan en las siguientes tres tácticas:
Disfrazar autoridad. Falsificar atención al cliente, personal oficial o socios, utilizando una identidad "aparentemente confiable" para reducir tu guardia.
Crear un sentido de urgencia. Anomalías en la cuenta, airdrops de tokens, oportunidades de inversión exclusivas... te hacen sentir que si no actúas ahora, perderás.
Establecer un ciclo de confianza. Te añaden a grupos falsos, suplantan amigos o KOLs, haciendo un lavado de cerebro grupal que te induce a caer en la trampa paso a paso.
Es importante notar que los ataques de ingeniería social están evolucionando de manera sistemática y profesional.
Chainalysis también señala que en los últimos tres años, los grupos de estafadores han comenzado a utilizar IA para el intercambio de rostros, perfiles de big data y tecnologías de automatización para diseñar discursos y procesos específicos para diferentes grupos de usuarios.
En el futuro, tal vez la mera alerta personal no sea suficiente para prevenir todos los riesgos; soluciones de seguridad sistemáticas, control de riesgos cruzados y aislamiento de permisos críticos se convertirán en configuraciones estándar para los jugadores de alto patrimonio y los proyectos.
Escenarios típicos y casos reales
A diferencia de los ataques técnicos, los ataques de ingeniería social tienen objetivos claros y suelen enfocarse en personas específicas dentro de organizaciones. Los hackers personalizan su discurso y diseñan escenarios basados en el comportamiento de diferentes grupos en Web3 para obtener resultados precisos. Las estrategias comunes incluyen las siguientes categorías:
Dirigido a jugadores comunes
El truco más común es el de "suplantar al servicio de atención al cliente oficial", contactándote directamente y afirmando que hay un problema con tu cuenta o que los fondos han sido congelados, pidiendo que verifiques la frase semilla o que realices una operación para descongelar, y luego tus activos se transfieren instantáneamente.
Recientemente, las autoridades australianas han tomado medidas contra un grupo de estafadores que se hacían pasar por la plataforma de intercambio de criptomonedas Binance, guiando a las víctimas para que llamaran a una línea falsa y transfirieran fondos a billeteras controladas por hackers.
Además, los enlaces de phishing como "airdrops gratuitos" o "red envelopes NFT" son comunes. Muchos de los "Crypto Drainers" mencionados en el informe de Chainalysis pertenecen a este tipo de casos, entre los que se destaca un ataque ocurrido en enero de 2024. En ese momento, los estafadores accedieron a la cuenta social de la Comisión de Valores de EE. UU. (SEC), publicando un airdrop falso que inducía a los usuarios a conectar sus billeteras para recibir tokens falsos, resultando en el robo de activos.
También hay grupos de "falsas transacciones" que son comunes, especialmente activos en Telegram y Discord. Los atacantes suelen hacerse pasar por personal oficial o robar cuentas de amigos para invitarte al grupo; además de ti, casi todos en el grupo son estafadores o bots, que enviarán frecuentemente proyectos falsos y oportunidades de alta rentabilidad, esperando que caigas en la trampa.
Dirigido a inversores de alto patrimonio
Para las personas de alto patrimonio, las tácticas de ataque suelen ser más personalizadas.
Los atacantes se disfrazan como KOLs conocidos, socios de oficinas familiares o gerentes de fondos a través de plataformas como LinkedIn y Twitter, lanzando cebos de "financiamiento exclusivo" o "oportunidades de inversión internas", combinando esto con cuentas sociales y documentos de inversión falsificados para crear un "círculo de confianza" cerrado.
El informe de Chainalysis menciona que en 2024, los equipos de 'pérdida de dinero' utilizaron estafas de oficinas familiares falsas para engañar a una gran cantidad de inversores de alto patrimonio, acumulando un total de decenas de millones de dólares involucrados.
Además, los ataques de intercambio de SIM son cada vez más comunes: los estafadores persuaden a operadores de telecomunicaciones para que transfieran números de teléfono, utilizando esto para restablecer la contraseña de tu cuenta de intercambio y controlar los fondos.
Dirigido a proyectos de Web3
Los equipos de proyectos a menudo enfrentan estafas relacionadas con invitaciones de cooperación, expansión comercial y conexiones tecnológicas.
Por ejemplo, los hackers pueden hacerse pasar por responsables de CEX conocidos o socios ecológicos, invitando a reuniones en línea, mientras envían enlaces de video falsos de Zoom o archivos de contrato maliciosos.
En 2024, SlowMist reveló varios casos de hackers falsificando enlaces de videoconferencia, con el objetivo directo de la autorización de múltiples firmas del proyecto y la gestión de claves privadas. La plataforma Huione Guarantee mencionada en el informe de Chainalysis proporciona servicios como intercambio de rostros por IA y KYC falso, ayudando a los grupos de estafadores a falsificar videos de CEO y CTO para obtener autorizaciones financieras.
Además, los atacantes a menudo lanzan enlaces de código malicioso a los equipos de desarrollo bajo el nombre de "paquete de actualización SDK" o "documentación API", induciendo a la descarga.
Dirigido a solicitantes de empleo en Web3
Los ataques de ingeniería social también aparecen con frecuencia en información de "reclutamiento" y "trabajo a tiempo parcial".
Los atacantes se hacen pasar por recursos humanos de proyectos, reclutadores de plataformas importantes, o falsifican sitios de empleo para publicar puestos de alta remuneración, atrayendo a los solicitantes de empleo a enviar sus currículos. Una vez que se establece la confianza, a menudo se les lleva a hacer clic en enlaces de entrevistas falsificadas, descargar archivos maliciosos, o incluso a ingresar en lo que se llama una "plataforma de tareas", donde se les engaña para que recarguen fondos mediante compras de productos.
El informe de Chainalysis señala que en 2024, los equipos de 'pérdida de dinero' han comenzado a usar reclutamiento falso como una nueva línea de negocio, induciendo a las víctimas a seguir invirtiendo dinero hasta que no puedan retirar. Además, SlowMist ha monitoreado múltiples casos de estafas de búsqueda de empleo, donde los atacantes envían enlaces maliciosos a través de invitaciones de trabajo falsas, robando permisos de billetera o información sensible.
¿Cómo prevenir los ataques de ingeniería social?
Nunca podrás evitar que los estafadores se acerquen a ti, pero puedes no darles la oportunidad de actuar.
La idea principal es solo una: aumentar la sensibilidad ante la tentación, la intimidación y los círculos de confianza, junto con la protección técnica en dos frentes.
Toda la información, confía solo en los canales oficiales. Asegúrate de verificar cruzando a través del correo electrónico, cuenta de Twitter y grupo de Discord publicados en la página oficial.
Instala complementos anti-phishing. Complementos como Wallet Guard y PhishFort pueden interceptar efectivamente sitios de phishing y enlaces maliciosos que ya han sido marcados.
Nunca des tu clave privada, firma autorizaciones con precaución. Ninguna plataforma o proyecto legítimo solicitará tu clave privada y frase semilla. Antes de firmar un contrato, asegúrate de confirmar la fuente y los permisos de invocación del contrato.
El equipo del proyecto y los miembros clave deben controlar estrictamente las conexiones comerciales. Se recomienda activar la protección contra phishing en los correos electrónicos del personal clave, usar un entorno de caja de arena para recibir documentos y rechazar invitaciones SDK/API no verificadas.
Dividir las billeteras y diversificar los activos. Se recomienda una combinación de billetera fría y billetera de hardware, con capas de aislamiento entre la billetera de operaciones diarias, la billetera de inversiones y la billetera de almacenamiento, junto con la protección de múltiples firmas.
Desarrolla el hábito de "esperar 5 minutos" como una reacción de retraso. Para cualquier transferencia, operación urgente, detente obligatoriamente durante 5 minutos y verifica antes de proceder. Las estafas de ingeniería social temen más tu calma.
El primer paso en la inversión en Web3 no es buscar ganancias, sino aprender a proteger el capital.
No des ninguna oportunidad a los estafadores.