Una ola de ataques de apropiación de cuentas en plataformas como Twitter/X ha permitido a los atacantes utilizar cuentas de alto perfil para difundir contenido malicioso con el objetivo de robar criptomonedas. Estos ataques suelen emplear una familia de malware conocida como crypto-drainers, que se suministran a través de plataformas denominadas Drainer-as-a-Service (DaaS).
Casos recientes
La cuenta X @SECGov fue comprometida para publicar un anuncio falso sobre la aprobación de ETF de Bitcoin, lo que provocó una subida temporal en los precios del activo. El secuestro se debió al intercambio de SIM y la ausencia de autenticación de dos factores (2FA) en la cuenta. El equipo de seguridad de X confirmó este hecho.
Además, las cuentas de Netgear, Hyundai MEA X y CertiK también fueron hackeadas para promover sitios falsos que empujaban a los usuarios hacia drenadores de criptomonedas. Los actores de amenazas se están apoderando cada vez más de cuentas verificadas en X con marcas doradas o grises, para dar legitimidad a tweets que redirigen a estafas.
Los usuarios de X también enfrentan una avalancha incesante de anuncios maliciosos relacionados con criptomonedas. Estos anuncios conducen a lanzamientos falsos, estafas y drenadores de billeteras.
Introducción a DaaS y Crypto Drainers
Un Crypto Drainer es una herramienta o script malicioso diseñado para transferir criptomonedas desde la billetera de una víctima hacia la del atacante. Los drenadores dirigidos a MetaMask aparecieron por primera vez alrededor de 2021, y se comercializaron abiertamente en foros y mercados clandestinos.
Los ataques pueden realizarse mediante contratos inteligentes maliciosos que contienen funciones ocultas para activar transferencias no autorizadas. También existen drenadores basados en NFT o tokens que facilitan la transferencia de criptomonedas sin autorización.
Estos ataques suelen realizarse a través del modelo DaaS, donde los proveedores ofrecen software y soporte a ciberdelincuentes por un porcentaje de lo robado. Los servicios incluyen scripts llave en mano, contratos inteligentes personalizables, kits de phishing, asistencia de integración y mantenimiento.
La amenaza de ataques de apropiación de cuentas
El drenaje de criptomonedas puede ser rentable cuando los atacantes logran hacerse cargo de cuentas de alto perfil, como las de Mandiant y la SEC. Estos actores utilizan las cuentas para enviar contenido malicioso a grandes audiencias desde fuentes que parecen confiables.
Los ataques suelen comenzar con un ataque de fuerza bruta a contraseñas, especialmente en cuentas sin 2FA o MFA. Una vez obtenido acceso, los atacantes distribuyen enlaces de phishing que redirigen a usuarios hacia sitios falsos donde se les pide conectar sus billeteras para recibir recompensas como NFTs o «airdrops».
Los atacantes utilizan plataformas como X, Telegram y Discord para difundir estos enlaces, aprovechando la confianza de las cuentas comprometidas.
Anatomía de un ataque | el escurridor CLINKSINK
En el incidente de Mandiant, los atacantes utilizaron malware llamado CLINKSINK, un drenaje de JavaScript ofuscado que acecha a las víctimas que caen en enlaces de phishing con señuelos criptográficos.
El actor de amenazas que se hizo cargo de la cuenta X de Mandiant usó esta plataforma para compartir enlaces, redirigiendo a más de 123.000 seguidores hacia una página de phishing para robar criptomonedas. Estos señuelos suelen hacerse pasar por recursos legítimos como BONK o Phantom.
Se incita a las víctimas a conectar sus billeteras para reclamar un «airdrop», y luego se les pide que firmen una transacción, lo cual permite al atacante vaciar su billetera. Mandiant identificó 42 direcciones de billetera únicas utilizadas en campañas recientes de CLINKSINK.
Los drenajes de criptomonedas están aumentando
Los drenadores de criptomonedas se han vuelto más prominentes desde 2023, y ahora se anuncian en mercados clandestinos y canales de Telegram. Mandiant identificó a Chick Drainer y Rainbow Drainer como dos ofertas de DaaS que utilizan CLINKSINK.
Otras ofertas de DaaS incluyen Angel Drainer, que surgió en agosto de 2023, y Multi-chain Drainer de Rugging, que afirma admitir 20 plataformas criptográficas diferentes.
Prevención de ataques de drenaje
Las empresas deben estar alerta a la posibilidad de que sus cuentas de redes sociales puedan ser utilizadas como parte de una cadena de ataque. Los empleados que manejan activos criptográficos también están en riesgo.
Para combatir estos ataques, es importante habilitar 2FA o MFA para todas las cuentas de redes sociales. Los usuarios deben estar alerta a intentos de ingeniería social con NFTs y «airdrops», y considerar la adopción de billeteras basadas en hardware.
Conclusión
Los DaaS ofrecen una vía fácil hacia el ecosistema de crimeware, similar a cómo lo hizo el Ransomware-as-a-Service (RaaS). La competencia entre los operadores de DaaS podría llevar a una carrera por precios más bajos, lo que tentaría aún más a realizar actividades maliciosas.