Las claves privadas fueron robadas durante 20 meses y nadie se dio cuenta hasta que vaciaron 8 wallets
⚡ 有大动静群里说
Una extensión de navegador llamada Fearless Wallet empezó a enviar las frases semilla y las claves privadas de sus usuarios al exterior en febrero de 2025. Siguió haciéndolo hasta octubre de este año. La Fundación de la Comunidad Polkadot no emitió una alerta de seguridad hasta el 21 de octubre. Ya hay 8 usuarios que presentaron denuncias: en total, se transfirieron 17.286 DOT, valorados en unos 17.700 dólares al precio actual 💥
El método no es nuevo, pero estaba muy bien oculto. En cuanto el usuario desbloqueaba la wallet, el código malicioso de la extensión recopilaba la frase semilla, la clave privada y el archivo keystore, y los enviaba a un servidor externo mediante una solicitud HTTP. Y hay algo aún más preocupante: incluía un interruptor remoto que los atacantes podían activar o desactivar cuando quisieran. La gente común no tenía forma de darse cuenta de que estaba siendo vigilada 🦖
La empresa de seguridad SlowMist identificó después que las versiones afectadas eran la 3.0.1 y de la 3.0.3 a la 3.0.5. El código malicioso ya se había eliminado del código fuente en junio, pero el interruptor remoto no se desactivó hasta octubre. Para entonces, lo que ya se habían llevado no podía recuperarse ⚠️
Lo que realmente agravó el problema fue el Referendum 1910, que entró en vigor el 6 de julio. Polkadot redujo el periodo de desvinculación de los nominadores: de un máximo de 28 días a unos 2 días. En los casos más rápidos, los fondos pueden retirarse en 24 a 48 horas. La experiencia de staking mejoró, sí, pero si otra persona consigue tus claves privadas, el plazo para que la víctima detecte algo raro, pida ayuda y evite que los fondos puedan transferirse se redujo de 4 semanas a solo dos días 📉
Hay que dejarlo claro: las autoridades han dicho expresamente que, por ahora, no hay pruebas de que la reducción del periodo de desvinculación haya causado este robo. Algunas cuentas habían solicitado la desvinculación antes de la actualización de julio y, por lo tanto, siguieron sujetas a las reglas anteriores. Pero el riesgo ya está a la vista. El 30 de junio, PAPI Rescue ya había advertido que reducir el plazo de 28 días a dos eras dejaría muy poco tiempo para intervenir. Este servicio de recuperación afirma que ya ha recuperado más de 250.000 dólares.
En mi opinión, este no es un problema exclusivo de Polkadot. Todas las blockchains públicas que hacen más rápidos los retiros y más sencilla la liberación de fondos tienen que considerar este equilibrio. La liquidez es una ventaja del producto; el margen para rescatar fondos es parte del presupuesto de seguridad. Se está recortando de ambos lados, pero los usuarios suelen fijarse solo en lo primero.
Hay otra cosa que mucha gente hace mal: cambiar la contraseña, reinstalar la extensión o importar la misma frase semilla a una wallet nueva. Nada de eso soluciona el hecho de que las claves hayan quedado expuestas. Si alguna vez se envió tu clave privada, la única opción es crear un nuevo par de claves y transferir allí los activos. Las autoridades también advierten que no hay que confiar en equipos de recuperación que se pongan en contacto contigo por iniciativa propia y, mucho menos, entregar las claves privadas a nadie.
¿Cuántas extensiones tienes instaladas en el teléfono y el navegador que ni siquiera conoces bien? Cuéntanos en los comentarios.
Toca el avatar para ver la transmisión en directo.
Todos los días te mantenemos al tanto de las noticias más importantes sobre seguridad cripto. No solo vemos qué pasa: también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀
⚡ 有大动静群里说
Una extensión de navegador llamada Fearless Wallet empezó a enviar las frases semilla y las claves privadas de sus usuarios al exterior en febrero de 2025. Siguió haciéndolo hasta octubre de este año. La Fundación de la Comunidad Polkadot no emitió una alerta de seguridad hasta el 21 de octubre. Ya hay 8 usuarios que presentaron denuncias: en total, se transfirieron 17.286 DOT, valorados en unos 17.700 dólares al precio actual 💥
El método no es nuevo, pero estaba muy bien oculto. En cuanto el usuario desbloqueaba la wallet, el código malicioso de la extensión recopilaba la frase semilla, la clave privada y el archivo keystore, y los enviaba a un servidor externo mediante una solicitud HTTP. Y hay algo aún más preocupante: incluía un interruptor remoto que los atacantes podían activar o desactivar cuando quisieran. La gente común no tenía forma de darse cuenta de que estaba siendo vigilada 🦖
La empresa de seguridad SlowMist identificó después que las versiones afectadas eran la 3.0.1 y de la 3.0.3 a la 3.0.5. El código malicioso ya se había eliminado del código fuente en junio, pero el interruptor remoto no se desactivó hasta octubre. Para entonces, lo que ya se habían llevado no podía recuperarse ⚠️
Lo que realmente agravó el problema fue el Referendum 1910, que entró en vigor el 6 de julio. Polkadot redujo el periodo de desvinculación de los nominadores: de un máximo de 28 días a unos 2 días. En los casos más rápidos, los fondos pueden retirarse en 24 a 48 horas. La experiencia de staking mejoró, sí, pero si otra persona consigue tus claves privadas, el plazo para que la víctima detecte algo raro, pida ayuda y evite que los fondos puedan transferirse se redujo de 4 semanas a solo dos días 📉
Hay que dejarlo claro: las autoridades han dicho expresamente que, por ahora, no hay pruebas de que la reducción del periodo de desvinculación haya causado este robo. Algunas cuentas habían solicitado la desvinculación antes de la actualización de julio y, por lo tanto, siguieron sujetas a las reglas anteriores. Pero el riesgo ya está a la vista. El 30 de junio, PAPI Rescue ya había advertido que reducir el plazo de 28 días a dos eras dejaría muy poco tiempo para intervenir. Este servicio de recuperación afirma que ya ha recuperado más de 250.000 dólares.
En mi opinión, este no es un problema exclusivo de Polkadot. Todas las blockchains públicas que hacen más rápidos los retiros y más sencilla la liberación de fondos tienen que considerar este equilibrio. La liquidez es una ventaja del producto; el margen para rescatar fondos es parte del presupuesto de seguridad. Se está recortando de ambos lados, pero los usuarios suelen fijarse solo en lo primero.
Hay otra cosa que mucha gente hace mal: cambiar la contraseña, reinstalar la extensión o importar la misma frase semilla a una wallet nueva. Nada de eso soluciona el hecho de que las claves hayan quedado expuestas. Si alguna vez se envió tu clave privada, la única opción es crear un nuevo par de claves y transferir allí los activos. Las autoridades también advierten que no hay que confiar en equipos de recuperación que se pongan en contacto contigo por iniciativa propia y, mucho menos, entregar las claves privadas a nadie.
¿Cuántas extensiones tienes instaladas en el teléfono y el navegador que ni siquiera conoces bien? Cuéntanos en los comentarios.
Toca el avatar para ver la transmisión en directo.
Todos los días te mantenemos al tanto de las noticias más importantes sobre seguridad cripto. No solo vemos qué pasa: también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀