El 31 de octubre de 2026, la plataforma de lanzamiento de criptomonedas Flap.sh fue víctima de un ataque de secuestro de DNS que redirigió a los visitantes desde su sitio web legítimo a una página maliciosa no autorizada.
Este incidente pone de relieve una realidad importante de la Web3: incluso las plataformas de criptomonedas conocidas y consolidadas pueden ser objeto de ataques sofisticados.
🔎 ¿Qué ocurrió?
El equipo de Flap advirtió públicamente que su dominio oficial, flap.sh, había sido comprometido a nivel de DNS.
En lugar de llegar a la plataforma legítima, los visitantes podían ser redirigidos a un sitio web fraudulento diseñado para imitar la interfaz original y engañar a los usuarios para que conectaran sus monederos o firmaran transacciones maliciosas.
La empresa de seguridad Blockaid también identificó la misma infraestructura maliciosa que afectaba a otros sitios web de DeFi.
Las páginas maliciosas estaban vinculadas a actividades de vaciado de billeteras, incluidos intentos de obtener firmas peligrosas para transacciones y aprobaciones para gastar tokens.
🛡️ ¿Cómo respondió Flap?
El equipo de Flap reaccionó advirtiendo a los usuarios, restringiendo el acceso a las interfaces afectadas e introduciendo un dominio alternativo.
Posteriormente, el proyecto anunció que flap.sh se había restablecido. Sin embargo, más adelante migró su sitio web oficial a:
https://flap.cool
Se recomendó específicamente a los usuarios que accedieran directamente al nuevo dominio y evitaran conectar billeteras o firmar transacciones a través de flap.sh mientras continuaban la migración y la investigación.
La causa exacta del compromiso del DNS sigue bajo investigación.
No se ha publicado ninguna cifra total confirmada de forma independiente sobre los fondos robados o las billeteras afectadas.
⚠️ ¿Por qué debería importarle a todo usuario de criptomonedas?
Este incidente demuestra que la seguridad de los sitios web y la seguridad de la blockchain no son lo mismo.
Un sitio web puede parecer completamente legítimo mientras su dominio redirige a los visitantes a la infraestructura de un atacante.
Podrías introducir la dirección correcta, reconocer el diseño familiar y aun así acabar interactuando con una interfaz maliciosa.
En el mundo de las criptomonedas, una sola firma descuidada puede bastar para poner en riesgo tus activos.
🔐 10 reglas esenciales para la seguridad de las criptomonedas
1. Verifica todas las direcciones de sitios web.
Comprueba la ortografía, las extensiones de dominio y las redirecciones inesperadas. Guarda en marcadores los sitios web oficiales en lugar de confiar en anuncios de búsqueda o enlaces reenviados.
2. Nunca confíes en enlaces aleatorios para conectar tu billetera.
Evita conectar billeteras a través de mensajes no solicitados de Telegram, comentarios en redes sociales o mensajes privados.
3. Nunca compartas tu frase semilla ni tus claves privadas.
Ningún administrador legítimo del proyecto ni agente de soporte los necesita.
4. Lee atentamente las solicitudes de firma de la billetera.
Una firma no siempre es inofensiva. Algunas firmas pueden autorizar transferencias o conceder acceso a tus activos.
5. Comprende las aprobaciones de tokens.
Las solicitudes de Approve, Permit y Permit2 pueden conceder permisos para gastar tus tokens. Nunca concedas acceso ilimitado sin entender por qué es necesario.
6. Separa tus billeteras.
Usa una billetera dedicada para las dApps experimentales y guarda tus activos a largo plazo en otra billetera.
7. Revisa y revoca los permisos innecesarios.
Usa herramientas confiables, como https://revoke.cash, para revisar las autorizaciones de tokens. Verifica siempre el dominio antes de conectar tu billetera.
8. Protege tus cuentas.
Activa la autenticación de dos factores con un nivel de seguridad alto en tus plataformas de intercambio, cuentas de correo electrónico y cuentas de registradores de dominios.
9. Detente si algo te parece sospechoso.
Las redirecciones inesperadas, las solicitudes inusuales de la billetera, las advertencias urgentes o las peticiones para volver a intentar transacciones deben considerarse señales de alerta.
10. Sigue los anuncios oficiales de seguridad.
Consulta varios canales oficiales de comunicación antes de interactuar con una plataforma durante un incidente de seguridad.
🚨 ¿Qué pasa si ya interactuaste con un sitio web sospechoso?
- Deja de interactuar con el sitio web.
- Revisa el historial de transacciones y las aprobaciones de tokens de tu billetera.
- Revoca los permisos sospechosos con una herramienta verificada.
- Si firmaste una autorización maliciosa o sospechas que tu billetera está comprometida, transfiere los activos restantes a una billetera segura recién creada.
- Contacta con la plataforma a través de canales oficiales verificados.
Recuerda: conectar una billetera por sí solo no significa que te hayan robado los fondos. El riesgo real depende de los permisos o las firmas que hayas autorizado.
Reflexiones finales
Web3 nos brinda libertad financiera, pero esa libertad conlleva una responsabilidad personal.
La seguridad no es responsabilidad exclusiva de las plataformas de intercambio, los desarrolladores o los proyectos de blockchain. Cada usuario forma parte de la cadena de seguridad.
El incidente de Flap nos recuerda que la confianza nunca debe sustituir a la verificación.
Mantente informado. Verifica antes de conectar. Lee antes de firmar. Protege tus activos.
— CHABARAKA 💚
Información actualizada al 31 de octubre de 2026. La investigación del incidente de Flap sigue en curso.
Fuentes:
- Actualizaciones oficiales sobre el incidente de Flap: https://x.com/FlapOfficial
- Alertas de seguridad de Blockaid: https://x.com/Blockaid_
Informe del incidente: https://tsnmedia.org/flap-kintsu-dns-hijack/