Una autorización incorrecta en WiFi público: el costo de seguridad de 5000 dólares

Escrito por: The Smart Ape

Traducido por: Luffy, Foresight News

Enlace:

Declaración: Este artículo es una reproducción; los lectores pueden obtener más información a través del enlace original. Si el autor tiene alguna objeción respecto a la reproducción, por favor contáctenos y haremos las modificaciones necesarias según sus instrucciones. La reproducción se realiza únicamente con fines informativos, no constituye asesoramiento de inversión ni refleja la opinión o postura de Wu.

Hace unos días, mi familia y yo nos alojamos durante tres días en un hotel de lujo para celebrar las vacaciones de fin de año. Pero justo al día siguiente de hacer el check-out, mi billetera de criptomonedas fue saqueada por completo. Estaba completamente desconcertado; no hice clic en ningún enlace de phishing ni firmé ninguna transacción maliciosa.

Pasé varias horas investigando y contraté a expertos para ayudarme. Finalmente, entendí todo el proceso de robo. Todo comenzó con el WiFi público del hotel, una llamada breve y una serie de errores tontos que cometí.

Al igual que la mayoría de los entusiastas de las criptomonedas, incluso durante la estancia en el hotel, llevé mi portátil conmigo, pensando en aprovechar para trabajar un poco en mi tiempo libre. Mi esposa me insistió varias veces en que me olvidara del trabajo durante esos tres días. Ahora, al recordarlo, realmente debería haberle hecho caso.

Así que, como otros, me conecté al WiFi público del hotel. Esta red no requería contraseña, solo necesitaba pasar por una página de autenticación forzada para acceder.

Como de costumbre, trabajé sin realizar ninguna operación de riesgo: no creé nuevas billeteras, no hice clic en enlaces desconocidos y no usé aplicaciones descentralizadas (dApps) sospechosas. Solo revisé redes sociales como X, consulté el saldo de mi billetera, y navegué por Discord y Telegram.

En ese momento, recibí una llamada de un amigo del sector de criptomonedas. Hablamos sobre el mercado, Bitcoin y algunas noticias recientes del sector.

Pero nunca imaginé que alguien cercano estuviera espiando nuestra conversación y que rápidamente se diera cuenta de que yo era un profesional en criptomonedas. Ese fue mi primer error. La persona no solo detectó que usaba la billetera Phantom, sino que también dedujo que poseía una cantidad considerable de tokens.

Por eso, se convirtió en su objetivo.

El WiFi público comparte la misma red entre todos los dispositivos, y la visibilidad entre ellos es mucho mayor de lo que imaginas. Los usuarios no están realmente aislados de forma segura, lo que da oportunidad a los hackers para realizar ataques de intermediarios. En este tipo de ataques, los hackers se infiltran entre tú y la internet, como alguien que abre y lee, o modifica, un mensaje antes de que llegue a tus manos.

Mientras navegaba en el WiFi del hotel, un sitio web parecía cargar normalmente, pero en realidad había sido infectado con código malicioso. No me di cuenta en ese momento; si hubiera instalado algunas herramientas de seguridad previamente, quizás habría detectado algo anormal, pero no fue así.

Normalmente, algunos sitios web solicitan a los usuarios firmar ciertos contenidos con su billetera. En ese momento, Phantom mostraba una ventana emergente pidiendo confirmación. Los usuarios, confiando en el sitio y en el navegador, suelen aprobar sin dudar. Pero ese día, no debí hacerlo.

Estaba en la plataforma de intercambio descentralizado Jupiter Exchange, realizando un intercambio de tokens, cuando el código malicioso aprovechó para alterar el proceso y mostrar una solicitud de autorización de billetera, en lugar de la orden de intercambio que yo quería ejecutar. En realidad, podía haber detectado que era una solicitud maliciosa revisando cuidadosamente los detalles de la transacción, pero como estaba operando en Jupiter, no sospeché nada.

Lo que firmé ese día no fue una transferencia de fondos, sino un acuerdo de autorización de permisos.

Por eso, días después, mi billetera fue hackeada.

El código malicioso era astuto; no solicitó directamente que transfiriera tokens SOL, porque eso sería demasiado evidente. En su lugar, mostró solicitudes ambiguas como “Autorizar acceso”, “Aprobar permisos de cuenta” o “Confirmar sesión”.

En otras palabras, autoricé a una dirección desconocida para que operara en mi billetera.

Lo hice porque creí que era un paso normal en la operación en Jupiter. La notificación de Phantom en ese momento solo contenía términos técnicos, sin mostrar ninguna cantidad de transferencia ni advertir que era una transacción instantánea.

A partir de ese momento, los hackers tenían todas las condiciones necesarias para robar mis activos. Esperaron a que me fuera del hotel para transferir los SOL, tokens y NFTs que tenía en mi billetera.

Nunca pensé que algo así me sucediera a mí. Afortunadamente, esa billetera no era mi billetera principal, sino una billetera caliente para operaciones diarias, no una para mantener fondos a largo plazo. A pesar de ello, cometí muchos errores y asumo la mayor responsabilidad.

Primero, no debí haber conectado al WiFi público del hotel; en su lugar, debería haber usado el hotspot de mi teléfono.

Segundo, fallé en mantener la vigilancia; no debería haber hablado de criptomonedas en un lugar público como ese, sin considerar que alguien podría estar escuchando. Mi padre siempre me advirtió que no revelara mi involucramiento en criptomonedas a otros. Las consecuencias podrían haber sido mucho peores: en la realidad, hay casos en los que personas han sido secuestradas o incluso asesinadas por poseer criptomonedas.

Otro error fatal fue aprobar la solicitud de autorización sin verificarla cuidadosamente. Creí que provenía de Jupiter, por lo que no analicé su contenido en detalle. Aquí les advierto: en cualquier aplicación, ante cualquier solicitud de autorización de billetera, hay que ser extremadamente cauteloso y revisarla minuciosamente. Estas solicitudes pueden ser interceptadas y modificadas por hackers, y no siempre provienen de la aplicación que piensas.

Finalmente, esa billetera perdió aproximadamente 5000 dólares. Aunque la situación podría haber sido peor, todavía me siento muy frustrado por lo ocurrido.