Estafas de migración y swap de tokens falsos

Una estafa de migración de tokens es un fraude en el que los delincuentes te dicen que un token que tienes debe «actualizarse», «migrarse» o «intercambiarse» a una nueva versión y luego te envían a un portal falso que vacía tu billetera mediante una aprobación maliciosa, una firma o una solicitud de tu frase de recuperación. La estafa funciona porque las migraciones reales sí ocurren, así que la historia suena creíble.

Los proyectos cambian de contrato de forma legítima por actualizaciones, cambios de marca o traslados a otra cadena. El paso de Polygon de MATIC a POL es un ejemplo conocido de una transición genuina. Cada migración real crea un periodo en el que los poseedores esperan instrucciones, y los estafadores se apresuran a llenar ese periodo con instrucciones falsas.

Por qué las migraciones reales abren una oportunidad

Hay razones legítimas por las que un proyecto podría pedir a los poseedores que intercambien tokens:

• Actualizaciones de contrato. Un error o una nueva función requiere un nuevo contrato de token.
• Cambios de marca y de token. Un proyecto sustituye un token por un sucesor.
• Traslados de cadena. Un token pasa de una blockchain a otra, por ejemplo de un ERC-20 a la mainnet propia de un proyecto.
• Redenominaciones. El suministro se divide o se fusiona; por ejemplo, 1 token antiguo pasa a ser 100 nuevos.

Cada una de estas situaciones genera confusión, y la confusión es rentable para los estafadores. Muchos poseedores no siguen de cerca las noticias del proyecto, así que un mensaje convincente que diga «el token antiguo se va a retirar» puede parecer información urgente y útil. Lectura relacionada: Phishing a través de anuncios de búsqueda.

Cómo funciona la estafa, paso a paso

1. 1Elegir un objetivo. Los estafadores vigilan las migraciones anunciadas o simplemente se inventan una para un token popular.
2. 2Construir el portal. Copian el diseño del sitio web del proyecto en un dominio similar con un botón de «Migrar» o «Reclamar V2».
3. 3Difundir el enlace. Lo publican en respuestas a cuentas oficiales, pagan anuncios de búsqueda, envían mensajes directos por Telegram y Discord, hacen airdrops de tokens sin valor cuyo nombre es una URL o se hacen pasar por personal de soporte.
4. 4Crear urgencia. Los mensajes afirman que el token antiguo «dejará de funcionar» o «perderá todo su valor» en cuestión de horas.
5. 5Quedarse con los fondos. El portal te pide conectar tu billetera y luego aprobar un gasto ilimitado, firmar un mensaje permit o Permit2, enviar tokens a un «contrato de migración» o «validar» tu billetera introduciendo tu frase de recuperación.
6. 6Vaciar y blanquear. En cuanto firmas, un drainer automatizado saca tus tokens, a menudo en segundos, y los reparte entre muchas direcciones.

Para saber más sobre los trucos de firma implicados, consulta nuestra guía sobre ice phishing y firmas permit.

Un ejemplo hipotético

Lo que sigue es un ejemplo ilustrativo compuesto, no un caso real.

Imagina que un poseedor llamado Sam tiene un token DeFi de tamaño medio. Una mañana, Sam ve una respuesta bajo la publicación oficial del proyecto: «Recordatorio: los tokens V1 quedan obsoletos a medianoche UTC. Migra aquí». El enlace lleva a un sitio idéntico al del proyecto, con una letra cambiada en el dominio. Lo tratamos con más detalle en WalletConnect falso y phishing con ventanas emergentes de billetera.

Sam conecta una billetera y hace clic en «Migrar». La billetera muestra una solicitud de aprobación para el token por un importe ilimitado. Sam supone que es normal en un swap y confirma. En menos de un minuto, todo el saldo del token sale de la billetera. Luego, una segunda solicitud pide a Sam firmar un mensaje para «recibir los tokens V2»; en realidad es un permit para otro token de la billetera. Nunca llega ningún token V2. El proyecto real no había anunciado ninguna migración. Ver también: Sitios web de bridges falsos.

Lista de señales de alerta

Cómo verificar una migración genuina

1. 1Ve tú mismo a la fuente. Escribe el dominio oficial del proyecto o usa un marcador. Busca una página sobre la migración en la documentación y el blog oficiales. Nuestra guía sobre cómo verificar que un sitio web es el sitio oficial del proyecto explica cómo hacerlo.
2. 2Contrasta el anuncio. Confirma que aparece en las cuentas sociales verificadas del proyecto y, idealmente, que lo comunican los exchanges que listan el token.
3. 3Revisa tu exchange. Si tus tokens están en un exchange, busca su aviso oficial. Los exchanges suelen encargarse del intercambio para sus clientes.
4. 4Verifica el nuevo contrato. Compara la dirección del nuevo token en la documentación oficial y en un explorador de bloques, como se describe en nuestra guía para verificar la dirección de contrato oficial de un token.
5. 5Lee la transacción antes de firmar. Confirma que el contrato que apruebas coincide con el contrato de migración documentado y limita el importe de la aprobación cuando sea posible.
6. 6Espera si tienes dudas. Las migraciones genuinas rara vez castigan a quien se toma un día para verificar.

Qué hacer si caíste en la trampa

Actúa rápido, en este orden:

1. 1Revoca las aprobaciones. Usa una herramienta de aprobaciones de confianza para revocar cualquier aprobación o permit concedido al contrato de la estafa. Consulta cómo revocar aprobaciones de tokens.
2. 2Protege la billetera. Si introdujiste tu frase de recuperación, considera la billetera comprometida y mueve los activos restantes a una billetera totalmente nueva con una nueva frase de recuperación. Sigue nuestra lista sobre qué hacer de inmediato si tu billetera está comprometida.
3. 3Guarda pruebas. Guarda la URL, capturas de pantalla, hashes de transacción y las direcciones del estafador.
4. 4Denúncialo. Avisa al proyecto real, a tu proveedor de billetera y a la plataforma donde viste el enlace. También puedes señalarnos el sitio y las direcciones mediante nuestro formulario de denuncia de estafas.
5. 5Cuidado con las estafas de recuperación. Quienes prometen recuperar tus fondos a cambio de una comisión casi siempre están montando una segunda estafa.

Conclusión

Las estafas de migración de tokens explotan un proceso real: los proyectos a veces sí intercambian o actualizan tokens. La defensa es sencilla pero estricta. Sigue solo las instrucciones de migración que hayas encontrado tú mismo en canales oficiales, verifica la dirección del nuevo contrato, nunca compartas una frase de recuperación y trata la urgencia y los mensajes privados como señales de alerta. Si una migración es genuina, seguirá ahí después de que la hayas comprobado.