Sitios web de bridges falsos: cómo usar un bridge sin que te vacíen la billetera

Un sitio web de bridge falso es una copia casi idéntica de un bridge cross-chain real que te engaña para que firmes una transacción o una aprobación de token que entrega tus fondos a un atacante. Para usar un bridge sin que te vacíen la billetera, accede a él solo mediante un marcador verificado o la documentación oficial, comprueba el dominio y las direcciones de los contratos, lee cada solicitud de la billetera antes de firmar y prueba primero con una cantidad pequeña.

Los bridges mueven tokens de una blockchain a otra, por ejemplo de Ethereum a una red de capa 2. Como los usuarios suelen usar bridges con prisa, persiguiendo una nueva red, un airdrop o una operación, las interfaces de bridges son un objetivo favorito del phishing. Esta guía explica cómo funciona la estafa y la rutina que la evita.

Cómo funciona un ataque con un bridge falso

La mayoría de las estafas con bridges falsos siguen los mismos pasos:

1. 1La copia. El atacante clona el front end de un bridge popular y lo aloja en un dominio que difiere en una letra, un guion o una terminación distinta.
2. 2El cebo. Promociona el enlace mediante anuncios de búsqueda pagados, respuestas bajo las publicaciones del proyecto real, cuentas de «soporte» falsas o anuncios de que una nueva red o un airdrop requiere usar el bridge.
3. 3La conexión. Conectas tu billetera. El sitio lee tus saldos, así que sabe qué tokens vale la pena atacar.
4. 4La solicitud. Haces clic en «bridge». En lugar de llamar al contrato real del bridge, el sitio te pide aprobar un token para el contrato de un atacante, firmar un permit fuera de la cadena o enviar fondos directamente a una dirección del atacante.
5. 5El vaciado. Una vez aprobado, el contrato del atacante retira tus tokens. A menudo el sitio muestra un falso mensaje de «bridge en curso» para ganar tiempo.

Como la interfaz se ve idéntica, el dominio y la solicitud de la billetera son tus únicas pistas fiables. Nuestras guías sobre wallet drainers y phishing con firmas permit explican en detalle los trucos de firma.

Un ejemplo hipotético

Lo que sigue es un ejemplo ilustrativo compuesto, no un caso real. Imagina a un usuario que quiere mover stablecoins de Ethereum a una nueva red de capa 2 para optar a un airdrop del que se rumorea. Busca el bridge de la red, hace clic en el primer resultado, que es un anuncio pagado, y llega a un sitio que se ve exactamente igual que el bridge oficial.

Conecta su billetera e introduce la cantidad. La billetera muestra una solicitud de aprobación de acceso «ilimitado» a sus stablecoins por parte de un contrato que nunca ha visto. Supone que es normal al usar un bridge y aprueba. En menos de un minuto, todo su saldo de stablecoins sale de la billetera, y el sitio sigue mostrando «esperando confirmaciones». Cuando se da cuenta de que el bridge nunca se realizó, los fondos ya se han intercambiado y movido a través de varias direcciones.

Las pérdidas se debieron a tres atajos: usar un anuncio de búsqueda, saltarse la comprobación del dominio y aprobar un contrato desconocido con un permiso ilimitado.

Lista de señales de alerta

Cómo usar un bridge con seguridad

Sigue esta rutina cada vez:

1. 1Encuentra el bridge oficial desde la fuente. Ve a la documentación oficial de la red de destino y sigue su enlace al bridge. Nuestra guía sobre cómo verificar que un sitio web es el sitio oficial del proyecto explica cómo confirmar que estás en el dominio correcto.
2. 2Guárdalo en marcadores. A partir de entonces, usa el marcador. Nunca busques un bridge para luego hacer clic en un anuncio.
3. 3Comprueba el contrato. Cuando el proyecto publique las direcciones de contrato del bridge, compáralas con lo que muestra tu billetera antes de aprobar.
4. 4Limita las aprobaciones. Aprueba solo la cantidad que vas a transferir, no una cantidad ilimitada, cuando tu billetera lo permita.
5. 5Envía una prueba pequeña. Transfiere primero una cantidad pequeña y confirma que llega a la red de destino.
6. 6Usa una billetera aparte para experimentar. Una billetera desechable con fondos limitados pone un tope a tus pérdidas si algo sale mal.
7. 7Revoca al terminar. Elimina las aprobaciones que ya no necesites, como se describe en nuestra guía para revocar aprobaciones de tokens.

Para conocer los riesgos más amplios de los propios bridges, incluidos los errores en contratos inteligentes, lee cómo transferir criptomonedas entre blockchains de forma segura.

Qué hacer si usaste un bridge falso

Actúa rápido:

1. 1Desconecta el sitio y cierra la pestaña.
2. 2Revoca las aprobaciones de todos los contratos que hayas aprobado, usando un verificador de aprobaciones de confianza al que accedas mediante un marcador.
3. 3Mueve los activos restantes a una billetera totalmente nueva con una nueva frase de recuperación si firmaste algo sospechoso o introdujiste tu frase de recuperación.
4. 4Anota los detalles: el dominio, los hashes de transacción y las direcciones del atacante.
5. 5Denúncialo al proyecto real del bridge, al exchange donde podrían llegar los fondos y a través de nuestro formulario de denuncia de estafas para que se pueda advertir a otros.

Nuestra guía paso a paso sobre qué hacer de inmediato si tu billetera está comprometida cubre la respuesta completa. Ignora a cualquiera que te contacte ofreciendo recuperar fondos a cambio de una comisión; las estafas de recuperación se dirigen a víctimas recientes. Para profundizar, consulta Estafas con tarjetas de débito cripto y ofertas de tarjetas falsas.

Conclusión

Los sitios web de bridges falsos tienen éxito porque se ven exactamente igual que los reales y atrapan a la gente cuando tiene prisa. Confía en el dominio y en la solicitud de la billetera, no en el diseño de la página. Accede a los bridges solo a través de la documentación oficial y de marcadores, aprueba solo lo que necesitas, prueba con cantidades pequeñas y revoca las aprobaciones después.