Cuentas sociales de proyectos hackeadas: cómo evitar anuncios falsos
Cuando una cuenta cripto de Twitter hackeada publica un airdrop o un mint falso, las pérdidas llegan rápido. Aprende cómo funcionan los secuestros de cuentas, las señales de alerta y cómo verificar los anuncios.
Cuando la cuenta en redes sociales de un proyecto cripto es hackeada, los atacantes la usan para publicar anuncios falsos, normalmente un airdrop sorpresa, un mint o una migración de tokens, que envían a los seguidores a un sitio web que vacía billeteras. La mejor protección es sencilla: nunca actúes por una sola publicación; confirma cualquier anuncio que afecte a tu billetera en al menos otro canal oficial, como el sitio web o la documentación del proyecto.
Estos ataques funcionan porque toman prestada una confianza real. La cuenta es auténtica, la insignia es auténtica y los seguidores son auténticos. Solo la publicación es falsa, y los atacantes saben que solo necesitan un breve margen de tiempo antes de que el equipo recupere el control.
Cómo se producen los secuestros de cuentas
Los atacantes rara vez «hackean» la plataforma en sí. Apuntan a las personas y a los servicios conectados:
- Phishing a miembros del equipo. Mensajes falsos que hablan de una reclamación por derechos de autor, un problema de verificación o una oferta de colaboración llevan al personal a iniciar sesión en una página falsa.
- SIM swaps. Si una cuenta depende de códigos por SMS, un atacante que se apodere del número de teléfono puede restablecer la contraseña. Consulta nuestra guía sobre ataques de SIM swap.
- Herramientas de terceros comprometidas. Las aplicaciones de programación o de analítica con permiso para publicar pueden convertirse en una puerta trasera.
- Contraseñas débiles o reutilizadas. Una contraseña filtrada de otro sitio puede abrir la cuenta.
- Personas de dentro o excolaboradores que conservaron el acceso tras marcharse.
Los servidores de Discord y Telegram afrontan riesgos similares a través de cuentas de moderadores comprometidas o bots maliciosos que publican en los canales de anuncios.
Cómo se desarrolla la estafa, paso a paso
- 1Secuestro. El atacante obtiene acceso y a menudo cambia el correo y el teléfono de recuperación para dejar fuera al equipo.
- 2Preparación. Monta un sitio convincente en un dominio parecido, normalmente conectado a un wallet drainer.
- 3La publicación. Aparece un anuncio falso: «Airdrop sorpresa para holders», «Nuestro token está migrando; haz el swap ahora» o «Mint gratuito limitado, solo 30 minutos».
- 4Amplificación. Se restringen las respuestas para frenar las advertencias, la publicación puede quedar fijada y otras cuentas comprometidas o bots la comparten.
- 5El vaciado. Las víctimas conectan sus billeteras y firman aprobaciones o transacciones que entregan sus activos. Nuestra explicación sobre los wallet drainers muestra cómo funcionan estos contratos.
- 6Limpieza. El equipo recupera el acceso horas después, borra las publicaciones y avisa a los usuarios, pero las transacciones firmadas no se pueden revertir.
Un ejemplo hipotético
Este escenario es una composición con fines ilustrativos, no un caso real. Imagina un proyecto DeFi mediano con una cuenta muy conocida. Un domingo por la noche publica: «Para celebrar nuestro aniversario, todos los holders pueden reclamar un bono. El claim se cierra en dos horas», con un enlace a un dominio que difiere en una letra del oficial. Las respuestas están limitadas. Lo tratamos con más detalle en Cómo encontrar las cuentas sociales oficiales de un proyecto cripto.
Muchos seguidores hacen clic. El sitio les pide conectar una billetera y firmar una solicitud de «claim». En realidad, la firma concede a un drainer permiso para mover sus tokens. Dos horas después, los demás canales del proyecto publican una advertencia de que la cuenta estaba comprometida. Para entonces, el daño ya está hecho. Consulta también: Las apps sociales cripto y las redes al estilo Farcaster, explicadas.
Las pistas: una recompensa no anunciada, un plazo corto, un dominio ligeramente incorrecto, respuestas limitadas y ninguna publicación equivalente en el sitio web del proyecto. Lectura relacionada: Cursos falsos de trading de criptomonedas y gurús.
Lista de señales de alerta
| Señal | Por qué importa |
|---|---|
| Airdrop sorpresa, claim o mint gratuito | El cebo más común porque promete algo a cambio de nada |
| «Migración» o «swap de tokens» con plazo | Las migraciones reales se planifican y se anuncian en todos los canales con mucha antelación |
| Dominio no enlazado desde el sitio web oficial | Los atacantes recurren a dominios parecidos |
| Respuestas desactivadas o limitadas | Impide que la comunidad avise a otros |
| Publicado a una hora inusual para el equipo | Los secuestros suelen ocurrir cuando el personal está desconectado |
| Te pide conectar una billetera y firmar rápido | La urgencia impide comprobar con cuidado |
| El tono o el estilo difiere de las publicaciones habituales | Los atacantes rara vez imitan bien la voz del equipo |
Cómo verificar un anuncio
- 1Revisa el sitio web oficial. ¿Lo mencionan la página de noticias, el blog o un banner del sitio? Escribe tú mismo la dirección; no sigas el enlace de la publicación.
- 2Revisa otros canales oficiales. Consulta la documentación del proyecto, otras cuentas sociales o el foro oficial. Los equipos suelen publicar allí una advertencia rápidamente cuando una cuenta está comprometida.
- 3Compara el dominio. Asegúrate de que el enlace coincide carácter por carácter con el dominio indicado en la documentación oficial. Nuestra guía sobre cómo verificar que un sitio web es el sitio oficial del proyecto incluye un método paso a paso.
- 4Espera. Los claims y las migraciones reales rara vez exigen actuar en minutos. Esperar una hora cuesta poco; las prisas pueden costarlo todo.
- 5Busca mensajes firmados. Algunos proyectos publican declaraciones firmadas criptográficamente. Lee cómo verificar un mensaje firmado de un proyecto.
Cómo protegerte a largo plazo
- Guarda en marcadores los sitios y apps oficiales y usa solo esos marcadores.
- Usa una billetera «burner» separada con saldos pequeños para claims y mints.
- Activa la simulación de transacciones o el clear signing si tu billetera lo ofrece.
- Revoca con regularidad las aprobaciones que no uses.
- Sigue a los proyectos en más de un canal para poder contrastar rápidamente.
Qué hacer si caíste
- Solo visitaste el sitio: ciérralo y no descargues nada de lo que ofrecía.
- Conectaste y firmaste: revoca las aprobaciones y mueve tus activos a una billetera segura.
- Introdujiste tu frase semilla: crea una billetera nueva y transfiere de inmediato los fondos restantes.
Nuestra guía sobre qué hacer de inmediato si tu billetera está comprometida explica cada paso. Guarda la publicación, el enlace y los hashes de transacción, y denuncia el sitio falso mediante nuestro formulario de denuncia de estafas. Para los siguientes pasos con plataformas y autoridades, lee cómo denunciar una estafa cripto y qué pasa después.
Conclusión
Una cuenta cripto de Twitter hackeada se ve exactamente igual que la real porque es la real, temporalmente en las manos equivocadas. Trata cualquier publicación que te pida conectar una billetera como no verificada hasta que la confirmes en el sitio web oficial o en otro canal oficial. Unos minutos de comprobación frenan la forma más común en que estos secuestros acaban en pérdidas.
Preguntas frecuentes
¿Cómo se hackean las cuentas de los proyectos cripto?
Las vías habituales incluyen mensajes de phishing enviados a miembros del equipo, como falsos avisos de derechos de autor o de verificación, SIM swaps que secuestran los códigos de inicio de sesión por teléfono, aplicaciones de terceros comprometidas con permiso para publicar, contraseñas reutilizadas y, en ocasiones, personas de dentro. Una vez que tienen el control, los atacantes publican enlaces falsos mientras el equipo real queda bloqueado.
¿Cómo puedo saber si el anuncio de un proyecto es falso?
Comprueba si el mismo anuncio aparece en el sitio web oficial, la documentación, el blog y otros canales del proyecto. Desconfía de los airdrops sorpresa, los mints urgentes, las migraciones de tokens y los enlaces a dominios desconocidos, sobre todo si las respuestas están desactivadas o la publicación es inusualmente insistente.
¿Qué debo hacer si hice clic en un enlace de una cuenta hackeada?
Si solo visitaste el sitio, ciérralo y elimina cualquier descarga. Si conectaste una billetera y firmaste algo, revoca las aprobaciones y mueve tus activos a una billetera segura. Si introdujiste una frase semilla, considera la billetera comprometida y mueve los fondos a una billetera nueva de inmediato; después, denuncia el incidente.
¿Puede una insignia de verificación protegerme de los anuncios falsos?
No. Cuando una cuenta es hackeada, es la cuenta verificada real la que publica la estafa, así que la insignia, el número de seguidores y el historial parecen auténticos. La verificación solo te dice de quién es la cuenta, no si la publicación actual la hizo su propietario legítimo.