Drainware: Desgraciadamente, llega a un monedero de criptomoneda cerca de ti

TRM Labs ha estado siguiendo la aparición de una nueva amenaza para el ecosistema de las criptomonedas: el drainware, un tipo de smart contract malicioso al que se ha denominado anteriormente "drenadores", "barredores" y "drenadores de carteras." 

Los investigadores de TRM han bautizado estos ataques como "drainware", ya que operan drenando criptomonedas y NFT directamente de la cartera de un usuario después de que éste, sin saberlo, firme una transacción para comprar y acuñar un NFT, o interactúe con un sitio web de phishing. La valoración de TRM es que el drainware no tiene usos legítimos. 

‍AuroryNFT Attack

Uno de los primeros ataques drainware ampliamente difundidos se produjo antes del lanzamiento de la NFT Aurory de alto perfil en agosto de 2021. Los atacantes compraron un dominio con un DNS similar al dominio real de Aurory. Una vez que los usuarios firmaban y aprobaban la supuesta transacción mint, el contrato malicioso drenaba sus carteras. 

El ataque provocó pérdidas de más de 1,5 millones de dólares y el robo de más de 70 NFT a posibles inversores de Aurory. A continuación, los atacantes intentaron vender rápidamente las NFT sustraídas en mercados y utilizaron un puente Solana DeFi para saltar cadenas a Ethereum. Desde el 19 de diciembre de 2022, todos los fondos robados, por valor de aproximadamente 1,5 millones de dólares, permanecen en el monedero Ethereum puenteado.

Escurridor Mono

Monkey Drainer es uno de los últimos grandes ataques drainware dirigidos masivamente a la industria de las criptomonedas. El contrato malicioso solo requiere que los usuarios aprueben y firmen las transacciones, lo que lo hace más sencillo que muchos métodos de ataque tradicionales.

Monkey Drainer fue identificado públicamente por primera vez por el investigador de la cadena Zachxbt, que lo relacionó con el robo de criptomonedas por valor de más de 3,5 millones de dólares. En un hilo de seis tweets a finales de octubre, Zachxbt publicó información que confirmaba que en un periodo de 24 horas se robaron 700 Ethereum a las víctimas. El historial de la cartera Ethereum muestra un total de 7300 transacciones en un periodo de dos meses, como se muestra a continuación.

‍

‍

Hasta diciembre, varios usuarios informaron de direcciones asociadas con al menos diez informes en TRM Labschainabuse.com, que ahora permite recibir alertas en tiempo real sobre estafas denunciadas por los ciudadanos. 

TRM Labs revisó múltiples monederos marcados por usuarios de Chainabuse como probablemente asociados con Monkey Drainer, confirmando el uso de Tornado Cash para blanquear los ingresos robados y dividir los fondos principalmente entre tres intercambios centralizados. Uno de los mayores informes de Monkey Drainer en chainabuse.com está asociado con el robo de NFT de alto valor, incluyendo siete Crypto Punks, 20 Otherside Meta y un Azuki.

‍

La mayor parte del cripto robado a Monkey Drainer se blanquea a través de Tornado Cash. En algunos casos, los estafadores utilizan monederos intermediarios antes de intentar cobrar los fondos robados en tres intercambios centralizados, como se ve en el gráfico siguiente. 

Drenaje como servicio

En los primeros días de las criptomonedas, los ataques de phishing a menudo dirigían a los usuarios a enviar criptomonedas a una dirección que supuestamente estaba asociada con un proyecto legítimo. Este tipo de ataques creció durante el boom de las Ofertas Iniciales de Monedas (ICO) de 2017. Las víctimas de estos ataques de phishing solo perdían la cantidad de cripto que enviaban por error a la dirección equivocada.

Por el contrario, los ataques de phishing Web3 suelen ser más sofisticados e incluyen contratos personalizables capaces de vaciar carteras enteras. El vehículo de ataque suele distribuirse a través de tomas de control de cuentas (ATO) en plataformas de redes sociales como Twitter y Discord.

A medida que las NFT se iban generalizando, los ciberdelincuentes empezaron a atacar a los inversores novatos en NFT aprovechando el "miedo a perderse algo" (FOMO, por sus siglas en inglés) y el bombo publicitario que rodea al mundo de las NFT. TRM Labs ha observado cientos de ataques de phishing en el último año dirigidos a proyectos de NFT, donde la mensajería en tiempo real a través de múltiples plataformas ha permitido a los atacantes dirigirse a los inversores de NFT mediante la publicación de enlaces de sitios web de phishing a un ritmo rápido.

TRM descubrió que los ataques de phishing relacionados con estafas de acuñación de NFT desplegados a través de cuentas de Discord comprometidas aumentaron un 55% en junio de 2022 en comparación con el mes anterior.

Este espectacular aumento de los ataques Drainware ha llevado incluso a la aparición de plantillas Drainer como servicio (DTaaS), que proporcionan plantillas preconstruidas listas para lanzar y permiten a los atacantes lanzar contratos maliciosos a escala, como se vio durante el auge de NFT en 2021.

Aunque la adopción de las criptomonedas puede revolucionar el sector financiero, también plantea nuevos retos. Sin una educación adecuada sobre los riesgos de seguridad, tanto las empresas de criptomonedas como los particulares son vulnerables a las actividades delictivas. Para ayudar a combatir el drainware y otros fraudes, visita Chainabuse y alerta a la comunidad criptográfica de las estafas en tiempo real. 

TRM también está trabajando para obstaculizar la capacidad de los atacantes de drainware para blanquear y sacar provecho de los ingresos de estos ataques mediante el etiquetado de direcciones de billetera que se sabe que están asociadas con estafas de drainware en nuestras herramientas de cumplimiento y forenses. Estas herramientas son utilizadas por plataformas de criptomonedas, instituciones financieras y organismos encargados de hacer cumplir la ley para detectar e investigar el blanqueo de dinero y otras actividades ilícitas como estafas, hackeos y evasión de sanciones.

Acerca de TRM Labs

TRM proporciona Inteligencia en Blockchain para ayudar a las instituciones financieras, las empresas de criptomoneda y los organismos públicos a detectar, investigar y gestionar el fraude y los delitos financieros relacionados con la criptomoneda. La plataforma de gestión de riesgos de TRM incluye soluciones para la monitorización de transacciones y la detección de carteras, la puntuación del riesgo de las entidades -incluida la diligencia debida de VASP- y el rastreo del origen y destino de los fondos. Estas herramientas permiten a una cohorte cada vez mayor de organizaciones de todo el mundo adoptar con seguridad transacciones, productos y asociaciones relacionados con la criptomoneda.

El equipo de Investigaciones Globales de TRM lleva a cabo y apoya investigaciones sobre criptomonedas para combatir la actividad ilícita y fomentar la confianza en la economía de las criptomonedas. Nuestros investigadores utilizan TRM Forensics para rastrear el flujo de activos robados y coordinarse con los socios policiales pertinentes. Informe de una pista sobre criptomoneda en investigations@trmlabs.com.