Informe de seguridad cripto: mayo de 2024

Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.

En mayo de 2024, MetaMask lanzó Smart Transactions, ofreciendo una tasa de éxito en transacciones del 99,9%, protección MEV, pre-simulación y mejores configuraciones de tarifas de red. También compartimos una nueva guía de usuario para proteger tu Frase de Recuperación Secreta, y una discusión sobre seguridad en Snaps con HAPI. El mes también marcó el cierre de Pink Drainer, que había drenado decenas de millones de alrededor de 20.000 víctimas. Por otro lado, la campaña "Contagious Interview" del Grupo Lazarus apuntó a desarrolladores de blockchain con falsas ofertas de trabajo. Y los ataques de envenenamiento de direcciones siguieron aumentando, con una víctima que perdió 68 millones de dólares. El análisis completo está a continuación, pero primero...

Pionera STEM destacada: Jerry Lawson, padre del cartucho de videojuegos

Gerald "Jerry" Lawson (1940–2011) fue un ingeniero electrónico estadounidense que lideró el equipo detrás del Fairchild Channel F, la primera consola de videojuegos doméstica en utilizar cartuchos ROM intercambiables, lo que le valió el título de "padre del cartucho de videojuegos". Uno de los muy pocos ingenieros negros en los inicios de Silicon Valley, Lawson construyó un sistema modular que permitía a los usuarios intercambiar nuevas funcionalidades de forma segura, una filosofía de diseño que resuena en cómo el software moderno se extiende y aísla hoy en día.

Presentamos Smart Transactions para una mayor tasa de éxito y protección MEV

Las ineficiencias en las transacciones no son estrictamente un asunto de seguridad, también pueden costarle dinero a los usuarios. Este mes, MetaMask presentó Smart Transactions, que puede ofrecer una tasa de éxito en transacciones del 99,9%, protección contra el valor máximo extraíble (MEV), simulación previa a la transacción y mejores configuraciones de tarifas de red. Como explicó el Director Ejecutivo de Producto, Gal Eldar, las wallets están "en una posición única y, en muchos sentidos, son responsables de abordar directamente estos puntos de dolor de los usuarios". Smart Transactions refleja el compromiso de MetaMask de hacer que el envío de transacciones sea más seguro, sencillo, eficiente y confiable para todos.

Una guía de usuario sobre la Frase de Recuperación Secreta, la contraseña y las Claves Privadas

Como parte de su educación continua a los usuarios, MetaMask publicó un artículo de soporte sobre la Frase de Recuperación Secreta, la contraseña y las Claves Privadas, con el objetivo de ayudar a los nuevos usuarios a evitar errores comunes y costosos. Es un buen recurso para compartir con cualquier persona que esté comenzando en el mundo cripto, junto con el resto del material disponible en support.metamask.io.

MetaMask Snaps, seguridad y diligencia debida

Los MetaMask Snaps son complementos de terceros personalizables y verificados que amplían la funcionalidad de la wallet. Nuestro propio Christian Montoya co-organizó un X Space con HAPI sobre cómo los Snaps permiten la innovación que hace a los usuarios más seguros. Como explicó, la seguridad es multifacética, con muchas etapas en el recorrido web3 de un usuario donde se necesitan diferentes protecciones: una hardware wallet es valiosa, pero "aun así puedes ser drenado desde una hardware wallet si interactúas con una aplicación descentralizada maliciosa. Por eso, MetaMask se enfoca en incorporar proveedores de seguridad en muchas áreas". El despliegue de Snaps enfocados en seguridad continúa.

Revisando el misterioso hackeo de 10 millones de dólares que sacudió el mundo cripto

Taylor Monahan de MetaMask está investigando un misterioso hackeo que ha tomado el control de wallets cripto y drenado aproximadamente 10 millones de dólares en ether de usuarios de larga data. Hablando con The Defiant, compartió detalles sobre cuándo comenzó el hackeo y las últimas novedades del caso, señalando que, si bien su opinión sobre la causa raíz ha evolucionado con la investigación, los hechos no han cambiado: el incidente es otro ataque vinculado a la infame brecha de LastPass, sobre la que hemos informado en meses anteriores. Se cree que el hacker forma parte de un grupo organizado y ha comprometido las frases semilla de al menos 300 víctimas, todas las cuales probablemente las almacenaron a través de LastPass. Recuerda: tu Frase de Recuperación Secreta debe almacenarse de forma offline y en un lugar seguro al que solo tú puedas acceder. También enlazó el artículo relacionado de Krebs on Security de septiembre de 2023.

Pink Drainer cierra tras drenar más de 75 millones de dólares

Pink Drainer, un notorio drenador de wallets cripto, anunció su cierre tras acumular más de 75 millones de dólares explotando a alrededor de 20.000 víctimas mediante sofisticados ataques de phishing, declarando: "Hemos alcanzado nuestro objetivo y ahora, según lo planeado, es hora de retirarnos". (Scam Sniffer, citando a ZachXBT, cifró el botín en más de 75 millones de dólares provenientes de aproximadamente 20.000 víctimas en un solo año.) Como el propio Pink Drainer reconoció, su retiro es poco probable que tenga un gran impacto, ya que "la gente pasará a otros drenadores tan rápido como se pasaron a nosotros". ¿Acaso los estafadores de repente tienen conciencia? ¿O hay algo más en juego? Nuestro sexto sentido apunta a lo segundo... Y, con muchos otros drenadores aún activos, el consejo vigente se mantiene: guarda fondos importantes en una hardware wallet, mantén activos mínimos en wallets de uso cotidiano y utiliza diferentes cuentas para diferentes niveles de riesgo.

La campaña "Contagious Interview" del Grupo Lazarus apunta a desarrolladores de blockchain

Qué ocurrió

El Grupo Lazarus, una amenaza persistente avanzada (APT) activa desde 2007 y conocida por el ataque a Sony Pictures en 2014, ha apuntado cada vez más a instituciones financieras y plataformas de monedas virtuales. Investigadores de seguridad descubrieron una serie de ataques que utilizan archivos ZIP con JavaScript malicioso dirigidos a desarrolladores de blockchain a través de ofertas de trabajo en plataformas como LinkedIn, Upwork y Braintrust. En línea con la campaña "Contagious Interview" de Lazarus, los ataques engañan a los candidatos para que ejecuten código malicioso que roba información relacionada con cripto e implanta malware.

Cómo pueden protegerse los usuarios

Para protegerse contra ataques de phishing y malware como los ejecutados por grupos como Lazarus, es fundamental verificar la legitimidad de ofertas de trabajo inesperadas mediante investigación independiente y mantener una sólida higiene digital. Esto incluye usar software antivirus y antimalware actualizado, habilitar la autenticación multifactor (MFA) como capa adicional de seguridad, y ser cauteloso con los archivos adjuntos y enlaces de fuentes desconocidas. Además, mantener todo el software actualizado es esencial para protegerse contra vulnerabilidades explotables. Al adoptar estas prácticas, las personas pueden reforzar significativamente sus defensas contra amenazas cibernéticas sofisticadas y proteger su información sensible.

Los ataques de envenenamiento de direcciones aumentan, con una víctima que pierde 68 millones de dólares

Qué ocurrió

El envenenamiento de direcciones es una táctica engañosa en la que los atacantes manipulan el historial de transacciones de una víctima para engañarla y hacer que envíe fondos a una dirección incorrecta, y una víctima reciente perdió 68 millones de dólares por esta razón. Esta táctica de estafa implica crear tokens falsos, usar direcciones de "vanidad" que se asemejan estrechamente a las del objetivo, y explotar la función "transferFrom()" del estándar de tokens ERC-20. Los atacantes emplean estas estrategias para realizar transferencias de tokens de valor cero y transferencias de tokens falsificadas, haciendo que sus direcciones fraudulentas parezcan legítimas. Estos ataques están diseñados para confundir a los usuarios y hacer que copien la dirección incorrecta en sus transacciones, lo que genera pérdidas económicas. La sofisticación de estos métodos pone de relieve la naturaleza evolutiva de las amenazas cibernéticas en el espacio blockchain.

Cómo pueden protegerse los usuarios

Para protegerse contra el envenenamiento de direcciones, los usuarios deben evitar copiar direcciones directamente de su historial de transacciones y, en su lugar, copiarlas de una fuente de confianza. Implementar nombres de dominio para las direcciones puede mejorar su distinción, aunque los usuarios deben ser cautelosos con la suplantación de nombres de dominio. Utilizar la función de libreta de direcciones que ofrecen los servicios de wallet o agregar una etiqueta de nombre privado en plataformas como Etherscan para incluir en lista blanca las direcciones de confianza puede ayudar a los usuarios a identificar y evitar fácilmente las direcciones falsificadas.

El Informe de Seguridad Cripto de mayo de 2024 de MetaMask cubrió el lanzamiento de MetaMask Smart Transactions, el cierre de Pink Drainer tras drenar decenas de millones de alrededor de 20.000 víctimas, y un aumento en los ataques de envenenamiento de direcciones que le costaron a una víctima 68 millones de dólares. Consulta las ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.