¡Cuidado con las carteras frías! Los usuarios de Trezor y Ledger están recibiendo cartas físicas con códigos QR de phishing en serie

Las técnicas de estafa en criptomonedas vuelven a evolucionar, y recientemente varios usuarios de carteras hardware como Trezor y Ledger han reportado haber recibido cartas físicas disfrazadas de notificaciones oficiales. En ellas se solicita escanear un código QR para realizar una verificación forzada, pero en realidad se busca engañar a los usuarios para que ingresen su frase de recuperación, permitiendo así el robo de sus activos. Este tipo de ataques no es la primera vez que aparece, y vuelve a poner de manifiesto los riesgos a largo plazo de la filtración de datos personales y las estafas de ingeniería social.

Las cartas físicas disfrazadas de notificaciones oficiales exigen una “verificación de identidad” en un plazo determinado

El equipo de ciberseguridad Dmitry Smilyanets señaló que varios usuarios recibieron cartas en papel firmadas supuestamente por Trezor o Ledger, en las que se afirma que deben completar una “verificación de identidad (Authentication Check)” o una “verificación de transacción (Transaction Check)” en un plazo específico, de lo contrario, su dispositivo podría ser restringido.

Se reporta que las cartas tienen un aspecto muy elaborado, incluyendo firmas falsificadas, logotipos de marca y etiquetas de seguridad, además de un código QR de verificación. En algunos casos, incluso se ha falsificado la firma del CEO de Trezor, Matěj Žák.

Escanear el código QR lleva a sitios web falsos que inducen a ingresar la frase de recuperación

Dmitry Smilyanets informó que el código QR en las cartas dirige a las víctimas a sitios web maliciosos que imitan la página oficial, solicitando ingresar la frase de recuperación de la cartera para completar una supuesta “verificación de seguridad”. Una vez que se ingresa la frase, los datos se envían a los atacantes a través de una API en el backend, permitiéndoles importar la cartera en otros dispositivos y transferir los activos.

Tanto Trezor como Ledger enfatizan que en ningún momento solicitan a los usuarios que compartan su frase de recuperación a través de sitios web, correos electrónicos o cartas físicas. La divulgación de la frase de recuperación equivale a ceder el control total de la cartera.

Origen del ataque: filtraciones de datos pasadas de Ledger como objetivo

La precisión con la que estas cartas físicas llegan a los usuarios está relacionada con incidentes de filtración de datos ocurridos en los últimos años. En 2020, Ledger sufrió una brecha de seguridad en colaboración con Shopify, que expuso los nombres y direcciones físicas de decenas de miles de clientes; en 2023, Ledger Connect Kit también fue víctima de un ataque en la cadena de suministro. A principios de 2024, Trezor reportó que 66,000 datos de contacto de usuarios fueron filtrados accidentalmente.

El mes pasado, Ledger sufrió un hackeo a través del proveedor de pagos de terceros Global-e, que resultó en la filtración de nombres y datos de contacto de los usuarios. Aunque la compañía afirmó que las claves privadas y la información de pago no estaban comprometidas, estos datos aún pueden ser utilizados en ataques de phishing. Incluso si el dispositivo de la cartera está seguro, la filtración de datos personales puede ser explotada repetidamente.

(Global-e, proveedor de pagos de Ledger, sufrió filtración de datos; la respuesta oficial fue “el dispositivo de la cartera está seguro”)

Evolución de las técnicas de estafa: de correos electrónicos a ingeniería social física

Observando las tendencias de ataque en los últimos años, las técnicas de phishing han evolucionado desde correos electrónicos y mensajes falsos de atención al cliente, hasta la falsificación de aplicaciones, envío de dispositivos físicos falsos y cartas físicas. Las cartas físicas reducen la sospecha del usuario, especialmente cuando están diseñadas con un alto nivel de realismo, lo que facilita la confusión. La proliferación de estos ataques refleja los riesgos en la protección de datos y la dependencia de terceros en la industria de las criptomonedas.

Dmitry Smilyanets advierte que, para los usuarios, la línea de defensa más importante sigue siendo el principio básico: “Nunca compartas tu frase de recuperación con nadie”. En un contexto de constantes incidentes de seguridad, mejorar la conciencia del usuario y la seguridad en la cadena de suministro seguirá siendo un desafío clave para la industria.

Este artículo titulado “¡Cuidado con las carteras frías! Usuarios de Trezor y Ledger reciben cartas físicas con códigos QR de phishing” fue publicado originalmente en Chain News ABMedia.