El malware BOM roba a los usuarios más de 1.82 millones: SlowMist
- La aplicación BOM identificada como malware dirigida a usuarios de criptomonedas.
- Una operación estafadora ha robado más de 1,82 millones de dólares a más de 13.000 víctimas.
- Una investigación conjunta de SlowMist y OKX revela los detalles técnicos del ataque.
Se ha identificado un plan masivo de robo de criptomonedas tras diferentes usuarios reportar acceso no autorizado a sus saldos de cartera el 14 de febrero de 2025.
Las firmas de seguridad SlowMist y OKX han publicado un informe conjunto mostrando que han descubierto que una aplicación maliciosa llamada BOM fue responsable de los ataques.
El estudio estableció que BOM estaba destinado a engañar a los usuarios para que proporcionaran acceso a su biblioteca de fotos y almacenamiento local. Una vez otorgados los permisos, la aplicación escaneaba secretamente en busca de capturas de pantalla o fotos con frases mnemónicas de carteras o claves privadas. Estas últimas se publicaban en los servidores de los atacantes.
Según MistTrack, el malware ha impactado a no menos de 13.000 usuarios, con fondos robados totales que superan los 1,82 millones de dólares. Los atacantes transfirieron fondos en diferentes blockchains como Ethereum, BSC, Polygon, Arbitrum y Base en un intento de ocultar sus acciones.
El análisis del malware muestra un esquema de recopilación de datos
El análisis del equipo de seguridad Web3 de OKX mostró que la aplicación fue construida con el framework multiplataforma UniApp. Esta era una arquitectura diseñada para extraer datos sensibles. BOM solicita permiso para acceder a la galería de fotos del dispositivo y archivos locales al instalarse. La aplicación indica engañosamente que los permisos son necesarios para que la aplicación funcione normalmente.
La descompilación de la aplicación reveló que su propósito principal se centraba en recuperar y subir información del usuario. Cuando los usuarios visitaban la página del contrato en la aplicación, activaban funciones que escaneaban y recopilaban archivos multimedia del almacenamiento del dispositivo. Estos se empaquetaban y subían a un servidor remoto distante gestionado por los atacantes.
El código en la aplicación tenía funciones como “androidDoingUp” y “uploadBinFa”, cuyo único propósito era descargar imágenes y videos del dispositivo y subirlos a los atacantes. La URL de reporte empleaba un dominio que se obtuvo del caché local de la aplicación; por lo tanto, no era fácil para los usuarios rastrear el destino de sus datos.
La aplicación fraudulenta también tenía un sujeto de firma anómalo con letras aleatorias («adminwkhvjv») en lugar de las letras significativas que se utilizan normalmente en aplicaciones auténticas. Este aspecto también estableció que la aplicación era fraudulenta.
El análisis de fondos en cadena rastrea los flujos de activos robados
El análisis de la cadena de bloques del robo muestra los flujos de fondos en varias redes. La dirección principal del robo inició su primera transacción el 12 de febrero de 2025, con la recepción de 0.001 BNB desde la dirección.
En la cadena BSC, los atacantes obtuvieron ganancias de aproximadamente $37,000, principalmente en USDC, USDT y WBTC. Los hackers utilizaron frecuentemente PancakeSwap para intercambiar diferentes tokens por BNB. Hasta ahora, esta dirección tiene 611 BNB y alrededor de $120,000 en valor de tokens, como USDT, DOGE y FIL.
La red Ethereum experimentó el mayor robo, perdiendo alrededor de $280,000. La mayoría de estos fondos resultaron de transferencias de ETH entre cadenas desde otras redes. Los atacantes depositaron 100 ETH en una dirección de respaldo, a la cual se transfirieron 160 ETH desde otra dirección conectada. En total, 260 ETH se mantienen en esta dirección sin movimientos adicionales.
En Polygon, los atacantes obtuvieron tokens por valor de alrededor de $65,000, incluyendo WBTC, SAND y STG. La mayoría de estos fondos se intercambiaron en OKX-DEX por casi 67,000 POL. Se observó un robo adicional en Arbitrum ($37,000) y Base ($12,000), con la mayoría de los tokens siendo intercambiados por ETH y puenteados a la red Ethereum.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Vignesh Karunanidhi
Vignesh es escritor de contenido cripto, periodista cripto, editor de contenido y gestor de redes sociales. Ha trabajado con Watcher.guru, BeInCrypto, CoinGape, Milkroad y Airdrops durante más de 6 años. Sus habilidades para cubrir noticias de tecnología, robótica, negocios e inteligencia artificial se perfeccionaron gracias a una maestría en Comercio.
