Una estafa de phishing de Trezor promovida a través de un anuncio patrocinado por Google ha drenado, según el víctima, los ahorros de toda su vida. En otro lugar, BTCPay Server lanzó un parche de emergencia para una falla crítica que ya está siendo explotada activamente.
Los dos incidentes ocurrieron en un lapso de aproximadamente 24 horas. Ninguno afectó el protocolo de Bitcoin (BTC) en sí, pero ambos pusieron en riesgo directo los fondos de los usuarios.
Los anuncios de Google dirigen a las víctimas a un sitio de phishing de Trezor
La víctima, publicando en X (Twitter) bajo el nombre de David, culpó a un anuncio de búsqueda patrocinado el jueves. Según el informe, el anuncio colocó una página falsa de Trezor, alojada en Google Sites, por encima del sitio web real del fabricante de la billetera.
Cualquiera que escribiera una frase de recuperación en la página entregó a los atacantes el control total de su billetera.
Los datos en cadena muestran que la billetera señalada en el informe recibió 24.04 BTC a través de 80 transacciones. Esa cantidad equivale a aproximadamente $1.6 millones al precio actual de Bitcoin cerca de $65,172. Sin embargo, casi todo se ha movido, dejando alrededor de 0.04 BTC atrás.
Trezor dijo que escaló el caso internamente y reportó la página para su eliminación.
“Para todos los que leen: siempre verifiquen que están utilizando el sitio web oficial de Trezor y nunca ingresen su respaldo de billetera en un sitio web o formulario,” instó el equipo.
El hardware en sí nunca fue vulnerado. El ataque funcionó porque la semilla salió del dispositivo. El manual recuerda a un sitio de phishing falso de Uniswap que drenó $400,000 de billeteras en mayo.
BTCPay Server lanza rápidamente un parche para la falla explotada
Mientras tanto, BTCPay Server, un software de código abierto que permite a los comerciantes aceptar pagos en bitcoin directamente, emitió su propia advertencia el viernes.
Síguenos en X para obtener las últimas noticias a medida que suceden
El equipo dijo a los operadores que actualizaran a la versión 2.4.2 de inmediato o apagaran los servidores hasta que pudieran.
“Esta versión contiene la solución a una vulnerabilidad crítica que está siendo explotada activamente. Necesitas actualizar tan rápido como puedas,” indican las notas de lanzamiento del proyecto.
El Bitcoin Red Team, un grupo de investigación de seguridad voluntario, informó sobre la falla a los desarrolladores.
Sin embargo, solo parchear no termina la limpieza. Los operadores también deben actualizar los macaroons, las credenciales de acceso de las que dependen los nodos Lightning, además de las cadenas de autenticación para otros backends.
Cualquiera que haya generado una billetera caliente dentro de BTCPay debería mover esos fondos y recrearla. Los integradores también deberían actualizar NBXplorer, una herramienta de indexación complementaria, a la versión 2.6.10.
Por qué ambos incidentes son importantes para la autocustodia de Bitcoin
Un ataque explotó la confianza en los anuncios de búsqueda. En contraste, el otro explotó el código que se ejecuta en los servidores de los comerciantes. Amboseludieron el modelo de seguridad de Bitcoin y golpearon el software y los hábitos que lo rodean en su lugar.
El phishing sigue siendo la amenaza más costosa en cripto. Las pérdidas por robos de cripto en enero alcanzaron aproximadamente $400.3 millones, y un ataque de phishing representó más del 70% de esa cifra.
Google aún no ha explicado cómo el anuncio fraudulento pasó la revisión. La rapidez con la que se elimine la página y cuántos operadores de BTCPay logren parchear a tiempo, determinará el daño.
Fuente: BeInCrypto
