El investigador de seguridad en cadena ZachXBT señaló que cientos de billeteras en múltiples cadenas EVM se estaban vaciando por pequeñas cantidades, generalmente menos de $2,000 por víctima, canalizándose hacia una única dirección sospechosa.
El total del robo superó los 107.000 dólares y siguió aumentando. La causa raíz aún se desconoce, pero los usuarios informaron haber recibido un correo electrónico de phishing disfrazado de una actualización obligatoria de MetaMask, completo con el logotipo de un zorro con sombrero de fiesta y un “¡Feliz año nuevo!” línea de asunto.
Este ataque se produjo cuando los desarrolladores estaban de vacaciones, los canales de soporte tenían equipos reducidos y los usuarios navegaban por bandejas de entrada repletas de promociones de Año Nuevo.
Los atacantes explotan esa ventana. Las pequeñas cantidades por víctima sugieren que en muchos casos el drenaje opera a partir de aprobaciones de contratos en lugar de comprometer la frase inicial completa, lo que mantiene las pérdidas individuales por debajo del umbral en el que las víctimas inmediatamente hacen sonar las alarmas, pero permite al atacante escalar en cientos de billeteras.
La industria todavía está procesando un incidente separado de la extensión del navegador Trust Wallet en el que un código malicioso en la extensión Chrome v2.68 recopiló claves privadas y drenó al menos $8.5 millones de 2,520 billeteras antes de que Trust Wallet parcheara a la v2.69.
Dos exploits diferentes, la misma lección: los puntos finales de los usuarios siguen siendo el eslabón más débil.
Anatomía de un correo electrónico de phishing que funciona
El correo electrónico de phishing con temática de MetaMask demuestra por qué estos ataques tienen éxito.
La identidad del remitente muestra “MetaLiveChain”, un nombre que suena vagamente adyacente a DeFi pero que no tiene conexión con MetaMask.
El encabezado del correo electrónico contiene un enlace para cancelar la suscripción para “[email protected]”, revelando que el atacante tomó plantillas de campañas de marketing legítimas. El cuerpo presenta el logotipo del zorro de MetaMask con un sombrero de fiesta, combinando alegría estacional con urgencia fabricada sobre una “actualización obligatoria”.
Esa combinación pasa por alto la heurística que la mayoría de los usuarios aplican a las estafas obvias.
La documentación de seguridad oficial de MetaMask establece reglas claras. Los correos electrónicos de soporte provienen únicamente de direcciones verificadas, como [email protected]y nunca de dominios de terceros.
El proveedor de la billetera no envía correos electrónicos no solicitados exigiendo verificación o actualizaciones.
Además, ningún representante solicitará jamás una frase secreta de recuperación. Sin embargo, estos correos electrónicos funcionan porque explotan la brecha entre lo que los usuarios saben intelectualmente y lo que hacen reflexivamente cuando llega un mensaje que parece oficial.
Cuatro señales exponen el phishing antes de que se produzcan daños.
En primer lugar, la falta de coincidencia entre la marca y el remitente, ya que la marca MetaMask de “MetaLiveChain” indica un robo de plantillas. En segundo lugar, la urgencia fabricada en torno a las actualizaciones obligatorias que MetaMask dice explícitamente que no enviará.
En tercer lugar, las URL de destino que no coinciden con los dominios reclamados, al pasar el cursor antes de hacer clic, se revela el destino real. En cuarto lugar, solicitudes que violan las reglas básicas de la billetera, como solicitar frases iniciales o solicitar firmas en mensajes opacos fuera de la cadena.
El caso de ZachXBT demuestra la mecánica del phishing de firmas. Las víctimas que hicieron clic en el enlace de actualización falso probablemente firmaron un contrato de aprobación que otorgaba permiso al drenaje para mover tokens.
Esa única firma abrió la puerta a continuos robos en múltiples cadenas. El atacante eligió cantidades pequeñas por billetera porque las aprobaciones de contratos a menudo conllevan límites de gasto ilimitados de forma predeterminada, pero vaciar todo desencadenaría investigaciones inmediatas.
Distribuir el robo entre cientos de víctimas a 2.000 dólares cada una pasa desapercibido mientras se acumulan totales de seis cifras.
Revocar aprobaciones y reducir el radio de explosión
Una vez que se hace clic en un enlace de phishing o se firma una aprobación maliciosa, la prioridad cambia a la contención. MetaMask ahora permite a los usuarios ver y revocar asignaciones de tokens directamente dentro de MetaMask Portfolio.
Revoke.cash guía a los usuarios a través de un proceso simple: conecte su billetera, inspeccione las aprobaciones por red y envíe transacciones de revocación para contratos que no sean de confianza.
La página de aprobaciones de tokens de Etherscan ofrece la misma funcionalidad para la revocación manual de aprobaciones ERC-20, ERC-721 y ERC-1155. Estas herramientas son importantes porque las víctimas que actúan con rapidez podrían cortar el acceso al drenaje antes de perderlo todo.
La distinción entre compromiso de aprobación y compromiso de frase inicial determina si se puede salvar una billetera. La guía de seguridad de MetaMask traza una línea dura: si sospecha que su frase secreta de recuperación ha sido expuesta, deje de usar esa billetera inmediatamente.
Cree una nueva billetera en un dispositivo nuevo, transfiera los activos restantes y trate la semilla original como si se quemara permanentemente. Revocar las aprobaciones ayuda cuando el atacante sólo tiene permisos contractuales; Si su semilla se acaba, se debe abandonar toda la billetera.
Chainalysis documentó aproximadamente 158.000 compromisos de billeteras personales que afectaron al menos a 80.000 personas en 2025, incluso cuando el valor total robado cayó a aproximadamente $713 millones.
Los atacantes atacan más billeteras por cantidades más pequeñas, según el patrón que identificó ZachXBT. La implicación práctica: organizar billeteras para limitar el radio de explosión es tan importante como evitar el phishing.
Una sola billetera comprometida no debería significar una pérdida total de la cartera.
Construyendo una defensa en profundidad
Los proveedores de billeteras han incluido funciones que habrían contenido este ataque si se hubieran adoptado.
MetaMask ahora recomienda establecer límites de gasto en las aprobaciones de tokens en lugar de aceptar los permisos “ilimitados” predeterminados. El defensor del panel de Revoke.cash y De.Fi’s Shield trata las revisiones de aprobación como una higiene de rutina junto con el uso de billeteras de hardware para tenencias a largo plazo.
MetaMask habilita alertas de seguridad de transacciones de Blockaid de forma predeterminada, señalando contratos sospechosos antes de que se ejecuten las firmas.
El incidente de la extensión Trust Wallet refuerza la necesidad de una defensa en profundidad. Ese exploit eludió las decisiones de los usuarios y el código malicioso en una lista oficial de Chrome recopiló claves automáticamente.
Los usuarios que separaron sus tenencias entre billeteras de hardware (almacenamiento en frío), billeteras de software (transacciones cálidas) y billeteras desechables (protocolos experimentales) limitaron la exposición.
Ese modelo de tres niveles crea fricción, pero la cuestión es la fricción. Un correo electrónico de phishing que captura una billetera desechable cuesta cientos o algunos miles de dólares. El mismo ataque contra una sola billetera que contiene una cartera completa cuesta dinero que cambia la vida.
El escurridor ZachXBT tuvo éxito porque apuntó a la unión entre comodidad y seguridad. La mayoría de los usuarios mantienen todo en una instancia de MetaMask porque administrar múltiples billeteras resulta engorroso.
El atacante apostó a que un correo electrónico de aspecto profesional el día de Año Nuevo tomaría por sorpresa a suficientes personas como para generar un volumen rentable. Esa apuesta dio sus frutos, con 107.000 dólares y contando.
¿Qué está en juego?
Este incidente plantea una pregunta más profunda: ¿quién es responsable de la seguridad de los terminales en un mundo de autocustodia?
Los proveedores de billeteras crean herramientas antiphishing, los investigadores publican informes de amenazas y los reguladores advierten a los consumidores. Sin embargo, el atacante solo necesitaba un correo electrónico falso, un logotipo clonado y un contrato agotador para comprometer cientos de billeteras.
La infraestructura que permite la autocustodia, las transacciones sin permiso, las direcciones seudónimas y las transferencias irreversibles también la hace implacable.
La industria trata esto como un problema educativo: si los usuarios verificaran las direcciones de los remitentes, pasaran el cursor sobre los enlaces y revocaran aprobaciones antiguas, los ataques fallarían.
Sin embargo, los datos de Chainalysis sobre 158.000 compromisos sugieren que la educación por sí sola no escala. Los atacantes se adaptan más rápido de lo que aprenden los usuarios. El correo electrónico de phishing de MetaMask evolucionó a partir del crudo “¡Su billetera está bloqueada!” plantillas para campañas de temporada pulidas.
El exploit de la extensión Trust Wallet demostró que incluso los usuarios cuidadosos pueden perder fondos si los canales de distribución se ven comprometidos.
Lo que funciona: billeteras de hardware para tenencias significativas, revocación de aprobación despiadada, segregación de billeteras por perfil de riesgo y escepticismo hacia cualquier mensaje no solicitado de los proveedores de billeteras.
Lo que no funciona: asumir que las interfaces de billetera son seguras de forma predeterminada, tratar las aprobaciones como decisiones únicas o consolidar todos los activos en una única billetera activa para mayor comodidad. El drenaje ZachXBT se cerrará porque la dirección está marcada y los intercambios congelarán los depósitos.
Pero la próxima semana se lanzará otro escurridor con una plantilla ligeramente diferente y un nuevo contrato.
DIRECCIÓN.
El ciclo continúa hasta que los usuarios internalizan que la conveniencia de las criptomonedas crea una superficie de ataque que eventualmente es explotada. La elección no es entre seguridad y usabilidad, sino entre fricción ahora y pérdida más adelante.