Auge del fraude en inversiones en criptoactivos

Ilustración 1: Falso evento en directo de Elon Musk

Me encontraba a altas horas de la madrugada disfrutando de mis vacaciones de Semana Santa, buceando en Internet, básicamente aprendiendo cosas nuevas  –¡ay, tanto que aprender!– hasta que el algoritmo de Youtube me hizo tropezar con un evento en directo de lo que parecía el canal oficial de Tesla en el que, el amigo Elon Musk, respondía a preguntas sobre el futuro a corto plazo del Bitcoin, algo normal si contemplamos la conocida pasión de Elon por las criptomonedas y su alta participación en redes sociales.

El evento ofrecía doblar tus criptomonedas, "DOUBLE YOUR CRYPTO NOW", rezaba en el panel derecho junto a un código QR enlazado con un sitio web en el que que se facilitaban las instrucciones para optar a esa increíble oferta. Elon, además de excéntrico, es multimillonario, de hecho es el hombre más rico del mundo conforme la Lista Forbes 2022, quizás sea también generoso, puede que incluso filántropo, así que... ¿por qué no? ¿Qué podía fallar?

Verificando, que es gerundio.

No importa lo que creas, en cuestiones de dinero, verifica, es más, doblemente. Comprobé el canal y había más de 23.000 personas en directo tras dos horas de emisión y parecía tener miles de "me gusta", aunque a mí no me gustó comprobar que los comentarios estaban desactivados... algo que imposibilita las denuncias de los asistentes al evento en caso de ser estafados.

Ilustración 2: captura realizada desde mi terminal móvil.

En la siguiente ilustración se observa que el canal parecía tener varios años, al menos acorde a la información de transparencia facilitada por Youtube. 

Ilustración 3: información sobre el supuesto canal del evento de Tesla en Youtube.

Notaréis que las capturas las realizaba desde mi terminal móvil dado que, a esas horas. estaba ya en la cama... así que me fui a dormir deseando que llegara el amanecer para proseguir la investigación. Notad que, en mis años mozos, me habría levantado y no habría dormido en toda la noche... pero ya me voy haciendo viejo.

Sobre el dominio elonmusk22.net

Ya en horas menos intempestivas proseguí la investigación, había hecho capturas desde el mismo terminal así que, usé un segundo teléfono para descubrir el dominio asociado al código QR que se mostraba en la emisión de Tesla. Tan solo tuve que apuntar la cámara hacia la captura de pantalla que había almacenado en mi dispositivo y obtener el dominio asociado: elonmusk22.net.

Ilustración 4: dominio asociado al código QR. 

El dominio fue registrado anónimamente –registrante privado conforme RGPD o GDPR, en inglés– el día 11 de abril, lunes. 

Ilustración 5: datos abreviados conforme Whois

El dominio resolvía entonces a la dirección IP 94.26.249.141, geolocalizada en Rusia y exponía varios servicios vulnerables, probablemente comprometida y utilizada en múltiples esquemas de fraude. Notar que decimos que resolvía ya que, como puede observarse en los datos de Whois de la ilustración 5, el dominio se encuentra actualmente, a la hora de escribir este artículo, en el estado conocido como clientHold, un estado habitualmente previo al de eliminación en el que el dominio no resuelve, al haber sido relacionado con disputas legales, denuncias o falta de pago y requiere contactar con el registrador para solucionar la causa y eliminar esta restricción. 

Se ha de notar que, dicha dirección IP está asociada a un alto número de dominios con fraudes similares –entre otros tipos de incidentes–, un ejemplo en la siguiente ilustración.

Ilustración 6: una muestra parcial de otros dominios fraudulentos que comparten infraestructura.

Visitando el dominio

Al visitar elonmusk22.net se nos invita a elegir entre la cadena de bloques de Ethereum o la de Bitcoin.  

Ilustración 7: página principal del dominio elonmusk22.net

Al seleccionar la correspondiente cadena de bloques, por ejemplo, Bitcoin, muestra una página en la que aprovechan la imagen de alguien reputado y normalmente multimillonario, como Elon Musk, para urgir a participar, en esta ocasión, en el sorteo de 15.000 Bitcoins. Ver siguiente ilustración.

Ilustración 8: captura parcial de falso sorteo de 15.000 BTC

En pocas palabras, el engaño consiste –se mantiene constante entre múltiples incidentes– en hacer creer a la víctima que, si manda una cantidad de criptomonedas –en este caso entre 0,1 y 100 BTC– a una billetera indicada, recibirá de vuelta a su billetera, en el acto, el doble o el triple de la cantidad enviada. El mismo esquema se repite con la divisa ETH si se ha seleccionado previamente la cadena de bloques Ethereum. Las billeteras a las que había que enviar los fondos son las que indico en la siguiente ilustración.

Ilustración 9: billeteras maliciosas a las que enviar ETH y BTC, respectivamente

En pocas horas, el agente amenaza –me gusta denominar así a los chicos malos–, logró recopilar miles de dólares en ambas criptodivisas, BTC y ETH. En el momento de redactar el artículo pude rastrear los siguientes movimientos en ambas billeteras. Ver ilustraciones.

Ilustración A: transacciones totales en la billetera BTC maliciosa. 

Ilustración B: transacciones totales en la billetera ETH maliciosa.

Dado que la cadena de bloques no es más que un libro de cuentas público, es posible comprobar el total de transacciones realizadas en ambas billeteras. La billetera en la cadena de bloques de Bitcoin recibió 20 transacciones por un valor aproximado de 20.000 dólares, cantidad que el agente amenaza retiró rápidamente dejando un saldo inferior a los 27 dólares.

Por otro lado, la billetera en la cadena de bloques Ethereum recopiló algo más, unos 23.000 dólares, que también fueron retirados rápidamente por el agente amenaza.

He comprobado que suelen distribuir entre múltiples direcciones de billeteras los fondos estafados, probablemente en un intento de dificultar la trazabilidad de las operaciones.

Otros casos similares:

Mientras escribía estas líneas, al profundizar en la investigación, me encontré con múltiples estafas similares. Por ejemplo, el dominio 22-ethereum.com, también de reciente creación, aunque parece que mantenido latente unas semanas, quizás para que no fuera tan obvio que había sido creado específicamente para el engaño. Es probable que aún no haya sido utilizado, ya que a pesar de que sigue activo tras varios meses, no aparece en denuncias y el monedero asociado no tiene más que un par de transacciones previas –de enero– a la creación del dominio. Probablemente se trate de un dominio latente que está por utilizarse.

Ilustración C: fraude de similares características suplantando a Charles Hoskinson

En esta ocasión la imagen utilizada abusando de la reputación de un tercero era la de Charles Hoskinson, matemático, fundador de Cardano y cofundador de Ethereum. La infraestructura utilizada es la misma que en el caso previo, de forma que muy probablemente se trate del mismo grupo de cibercriminales. Comparto, a continuación algunas capturas del fraude.

Ilustración D: notad que comienza muy similar al caso previo.

De nuevo se hace uso de la imagen de alguien reputado y se urge a participar en un falso concurso.

Ilustración E: suplantación/abuso de la imagen de Charles Hoskinson en falso concurso

El concurso, al igual que en el caso de Elon Musk, consiste en mandar una cantidad de criptoactivos a una billetera bajo la promesa de devolver el doble o incluso más a la billetera origen.

Ilustración F: billetera controlada por el agente amenaza a la que enviar los fondos

Notad que el sitio fraudulento incluso incluye un falso historial de transacciones que se modifica en tiempo real, de forma que la víctima observa mucho movimiento y cree que hay otras personas que realizan envíos (IN) y reciben (OUT) el premio prometido, sus criptomonedas multiplicadas por dos.

Ilustración 10: Falso historial de transacciones de entrada/salida

Conclusiones y recomendaciones

La conclusión básica y evidente es que nadie, ni siquiera los multimillonarios, regala el dinero, de hecho los multimillonarios lo son precisamente porque cuidan e invierten inteligentemente su dinero en lugar de desperdiciarlo o regalarlo.

Os recomiendo comprobar siempre que el sitio es lícito o, por el contrario, si tiene denuncias conocidas, un recurso interesante para esto es CryptoScamDB, aunque he de decir que no detectaron el caso que os he comentado, de hecho, a la hora de escribir este artículo, sigue sin detectar el dominio como malicioso y, dado que ya no está activo, probablemente nunca lo hará.

Asegúrate antes de realizar transacciones. En la cadena de bloques las transferencias son, por norma general, irreversibles, ya que por su naturaleza, al no existir una entidad central como sí ocurre con las transferencias de moneda fiduciaria que realizas a través de un banco, no es posible reclamar y solicitar la anulación de una transacción ya realizada.

Verificad los datos de registro del dominio, dominios muy recientes son, habitualmente, creados ex profeso como infraestructura para soportar el engaño.

Verificad también la información de transparencia que facilita la red social, Youtube, Facebook... aunque personalmente he visto, por ejemplo hace pocas semanas, un engaño similar con la criptodivisa XRP en la que se hacía uso de canales falsos con más de 700.000 suscriptores o, el caso que comentamos hoy, canales con varios años y miles de personas conectadas a un falso directo... esto indica que el agente amenaza tiene capacidad para utilizar una botnet que simule miles de suscriptores o seguidores, quizás también haga uso de cuentas o canales robados o abandonados, que personaliza para crear un entorno verosímil en el que la víctima crea que todo parece legal. 

Recordad que la cadena de bloques es un libro público que puedes consultar. Verifica en tu explorador de la cadena de bloques tal y como hemos hecho en este artículo y podrás comprobar si las transacciones existen o solo es una ilusión.

Recuerda que las criptomonedas no son mágicas y, aunque pueden ser una buena inversión, hay que estudiar muy bien cada proyecto, dejarse asesorar por expertos de confianza y desconfiar de cualquier reclamo que prometa beneficios instantáneos, especialmente si hacen uso, como cebo, de personalidades o entidades conocidas.

Denunciad los falsos sitios y estafas. Este reciente artículo de la Comisión Federal de Comercio –FTC, por sus siglas en inglés– de EE. UU. facilita, al final del mismo, algunos enlaces interesantes para proceder con la denuncia. También podéis usar el que os he comentado previamente, CryptoScamDB.