La revolución de las criptomonedas ha traído consigo innovación, libertad financiera y nuevas oportunidades. Pero también ha abierto la puerta a delitos digitales cada vez más complejos, difíciles de detectar y con consecuencias devastadoras. Uno de los más recientes, y menos comprendidos por el público general, es el phishing de aprobación en la red Ethereum: una técnica que no roba contraseñas, sino permisos, y que puede acabar vaciando billeteras enteras con un solo clic mal dado.
Este tipo de fraude acaba de quedar expuesto en la Operación Avalanche, una investigación internacional liderada por el Servicio Secreto de los Estados Unidos en colaboración con varias agencias canadienses. La operación permitió desarticular una red criminal que había sustraído más de 4 millones de dólares en criptomonedas a través de campañas de suplantación digital dirigidas a usuarios de Ethereum.
¿Qué es el phishing de aprobación?
A diferencia del phishing tradicional, donde los atacantes engañan a la víctima para obtener credenciales o frases semilla, el phishing de aprobación se basa en explotar la arquitectura de contratos inteligentes en Ethereum. Concretamente, se aprovecha de las funciones que permiten a un contrato o aplicación gastar los fondos de una billetera si el usuario otorga su consentimiento previo.
Es decir, el delincuente no fuerza la entrada: pide permiso. Y lo consigue mediante campañas cuidadosamente diseñadas para parecer legítimas. En la mayoría de los casos, se presentan como nuevos proyectos de inversión, airdrops falsos o tokens prometedores que solicitan al usuario “autorizar” su billetera para interactuar. El problema es que, con esa única autorización, el atacante obtiene control total para mover los fondos, sin más validaciones ni alertas.
Un fraude difícil de detectar
Una vez otorgado el permiso, la víctima no ve ninguna señal clara de que algo va mal. No hay alertas de “movimiento sospechoso” como en la banca tradicional, ni contraseñas que cambiar. El atacante simplemente espera su momento, y cuando ejecuta el contrato autorizado, puede vaciar la billetera en segundos.
El daño económico es inmediato y, en muchos casos, irreversible. Las transacciones en blockchain son públicas, sí, pero también inamovibles. A menos que se identifique y actúe rápidamente, los activos robados pueden pasar por decenas de billeteras intermedias y mezcladores, dificultando su rastreo y recuperación.
Operación Avalanche: un caso de éxito en la cooperación internacional
Lo que hace especial a la Operación Avalanche no es solo el volumen de fondos recuperados, sino el esfuerzo conjunto de agencias de distintos países para enfrentarse a un delito que no reconoce fronteras.
Según el comunicado del Servicio Secreto, la operación contó con la participación de la Oficina de Campo en Washington, la Comisión de Valores de British Columbia, la Policía Provincial de Ontario, el Departamento de Policía de Vancouver, la Real Policía Montada de Canadá y diversas agencias regulatorias.
Todo comenzó con una empresa de análisis blockchain que detectó patrones sospechosos en una serie de carteras de Ethereum. Estas carteras parecían haber recibido fondos de múltiples víctimas que, según se comprobó después, habían sido engañadas para autorizar contratos maliciosos. A partir de ahí, los analistas forenses digitales rastrearon el flujo de fondos y, lo más importante, identificaron a los afectados.
El objetivo no era solo detener el ataque, sino alertar a los usuarios antes de que los fondos fueran transferidos definitivamente. En varios casos, se logró revocar permisos a tiempo o congelar operaciones en exchanges antes de que los activos desaparecieran del todo.
El papel de los contratos inteligentes
La vulnerabilidad no está en el código de Ethereum ni en fallos técnicos del sistema, sino en la forma en que los usuarios interactúan con los contratos inteligentes. Estos contratos son una de las grandes fortalezas del ecosistema, pero también una vía de entrada para estafas que se aprovechan de la falta de comprensión general sobre cómo funcionan.
Por ejemplo, muchas plataformas de intercambio descentralizado (DEX) requieren permisos amplios para facilitar la operación del usuario. Pero estos permisos suelen quedar activos de forma indefinida, y pueden ser utilizados posteriormente por contratos maliciosos si el usuario no los revoca. De ahí que una simple interacción con una web fraudulenta pueda derivar en pérdidas millonarias.
