Alerta de seguridad de WEEX: Estafas de aprobación maliciosa

¿Qué es una estafa de aprobación maliciosa?

Las estafas de aprobación maliciosa se encuentran entre las amenazas más extendidas y dañinas en el ecosistema Web3, afectando a innumerables usuarios.

En Web3, cuando interactúas con un smart contract, a menudo se te requiere otorgar permisos mediante la firma de una transacción. Algunos ejemplos comunes incluyen:

• Aprobar que una dApp acceda a tus tokens.
• Otorgar permiso a un contrato para transferir tus NFTs.
• Realizar acciones aparentemente inofensivas como iniciar sesión o verificar la propiedad.

Las estafas de aprobación maliciosa explotan estas acciones engañando a los usuarios para que otorguen a contratos dañinos el permiso de transferir sus activos.

Características clave

1. Engañar a los usuarios para que otorguen permisos peligrosos: Los estafadores suplantan dApps, airdrops o proyectos de NFT legítimos. Atraen a los usuarios para que hagan clic en un botón de "Aprobar", que en realidad autoriza acciones maliciosas como el acceso a tokens o NFTs.
2. Los activos son drenados sin una transferencia: No enviaste nada, solo hiciste clic en "Confirmar". Pero una vez que se otorga la aprobación, los atacantes pueden transferir tus activos en cualquier momento sin necesidad de más acciones por tu parte.
3. Las aprobaciones suelen ser ilimitadas: La mayoría de los contratos maliciosos solicitan el máximo límite posible, otorgándoles acceso permanente y sin restricciones a tus tokens o NFTs.
4. El contrato es pasivo: Los contratos de estafa no roban fondos activamente. Dependen totalmente de que los usuarios firmen aprobaciones voluntariamente, lo que les ayuda a evadir las advertencias de seguridad convencionales.
5. Prompts de firma engañosos: Los prompts de aprobación de la billetera suelen ser demasiado técnicos o simplificados, lo que dificulta entender qué estás firmando. Muchos usuarios asumen que es una autorización inofensiva y confirman sin darse cuenta del riesgo.

Escenarios comunes

1. Páginas falsas de Airdrop o acuñación de NFT: Los sitios promocionan "airdrops limitados" o "mints gratuitos". Hacer clic en el botón activa una solicitud para aprobar el acceso a tokens o NFTs. Una vez aprobado, los estafadores pueden drenar tus activos en cualquier momento.
2. Plataformas DEX o de intercambio falsas: Conectas tu billetera a un exchange descentralizado falso para intercambiar tokens. En lugar de ejecutar una operación, el sitio te engaña para que apruebes el acceso a tus tokens. Tus fondos son entonces robados.
3. Plataformas falsas de staking o juegos: Se te solicita "hacer staking de tokens" o "empezar a jugar" en una plataforma DeFi o GameFi engañosa. El sitio solicita aprobación para tus tokens o NFTs, pero toda la plataforma es falsa.
4. Frontends hackeados de proyectos legítimos: Los atacantes comprometen sitios web de confianza o secuestran registros DNS para reemplazar contratos legítimos por otros maliciosos. Los usuarios creen que están usando una dApp real, pero en realidad están aprobando permisos dañinos.
5. Atención al cliente o documentación falsa: Un agente de soporte falso envía un enlace afirmando "resolver un problema". La página te pide que apruebes un contrato, el cual está diseñado para robar tus activos.

Cómo funciona

La idea central detrás de las aprobaciones maliciosas es simple:

Explota la falta de conocimiento de los usuarios sobre los permisos on-chain. Al engañarte para que otorgues aprobaciones, los estafadores obtienen control de tus activos y los roban sin que te des cuenta.

Proceso técnico

Una estafa de aprobación maliciosa típica sigue estos pasos:

1. El estafador despliega un contrato malicioso (que no inicia transferencias por sí mismo).
2. El usuario es engañado para que llame a la aprobación (para tokens).
3. Se otorga la aprobación: los activos permanecen en la billetera temporalmente.
4. Los estafadores utilizan funciones para mover los fondos a su billetera.
5. Dado que la transacción fue aprobada por el usuario, se considera válida y no es bloqueada.

Mejores prácticas para protegerte

Presta atención a estas señales de alerta para evitar aprobaciones maliciosas:

• La dApp no tiene una funcionalidad real; solo solicita aprobación.
• Solicita acceso a activos de alto valor como ETH, stablecoins o NFTs.
• La aprobación no tiene límite de gasto.
• La ventana emergente de firma muestra acciones de alto riesgo.
• El sitio web parece poco profesional o imita un proyecto conocido.
• Evita hacer clic en enlaces aleatorios o aprobar solicitudes de fuentes no verificadas como mensajes directos de Telegram o respuestas en Twitter.

Conclusión

Si no lo entiendes, no lo firmes. Si no es una operación de trading, piénsalo dos veces antes de aprobar.

Para los usuarios cotidianos, la aprobación de permisos de smart contracts debe realizarse con extrema precaución. Adopta una mentalidad de seguridad primero: trata cada aprobación como una posible transferencia de fondos. Siempre examina y verifica dos veces cada autorización antes de firmar.

Lecturas adicionales

• Alerta de seguridad de WEEX: Tokens de alto riesgo
• Alerta de seguridad de WEEX: Suplantación de identidad por SMS
• Alerta de seguridad de WEEX: Redes sociales y foros en línea
• Alerta de seguridad de WEEX: Estafas comunes de criptomonedas