Un inversor de criptomonedas pierde $800,000 de su billetera en 46 horas

Un inversor de criptomonedas, conocido como Sell When Over, recurrió a Twitter para desvelar una alarmante experiencia en la que un hacker robó 800.000 dólares de sus monederos de criptomonedas en tan solo 46 horas. El problema principal parece girar en torno a una posible en Google Chrome, posiblemente facilitada por actualizaciones retrasadas o malware no detectado, que provoca la instalación no autorizada de extensiones maliciosas.

El desmoronamiento de las capas de seguridad

Sell ​​When Over relató cómo pospuso una actualización de Chrome, solo para que una posterior actualización de Windows lo obligara a hacerlo. Tras reiniciar, los cambios en Chrome fueron inmediatos: pestañas desaparecidas y reinicio de los inicios de sesión de las extensiones. Esta anomalía lo obligó a reimportar las semillas de su billetera, un proceso que realizó meticulosamente desde un dispositivo secundario sin vulnerabilidades.

Sin embargo, fue el descubrimiento de dos extensiones peculiares, "Sync Test Beta" y "Simple Game", junto con la activación no solicitada de la traducción automática al coreano, lo que indicó una vulnerabilidad más grave. Curiosamente, una aplicación de billetera específica, que no se vio afectada por el proceso de reimportación, no se vio afectada, lo que indicó que el origen de la brecha se encontraba en un solo PC comprometido.

Un análisis más profundo de estas extensiones reveló funcionalidades alarmantes. "Sync Test Beta", una extensión de colores vivos, fuedentcomo un keylogger que transmitía datos secretamente a un script PHP externo. Por otro lado, "Simple Game" parecía monitorizar la actividad de las pestañas del navegador. Sell When Over lamentó la sensatez de borrar completamente el PC a la menor anomalía, especialmente cuando tales peculiaridades coinciden con actualizaciones importantes como la actualización de la interfaz de usuario de Chrome.

Una costosa lección de vigilancia digital

A medida que el hilo se expandía, Sell When Over reveló una falla de seguridad crítica: una brecha de acceso a Google vinculada a un dispositivo Windows desconocido, posiblemente falsificando un nombre de dispositivo conocido para evitar la detección temprana. Esta brecha se trachasta un VPS alojado por Kaopu Cloud, conocido en círculos de hackers por su participación en diversos delitos cibernéticos. A pesar de tener habilitada la autenticación de dos factores (2FA), el atacante la evitó, dejando el método exacto de la brecha —desde phishing de OAuth hasta secuencias de comandos entre sitios— en cuestión de especulación.

Eldent sirvió como una brutal llamada de atención, y Sell When Over compartió varias conclusiones clave:

1. Decepción por el fracaso de Bitdefender al no detectar ninguna amenaza, en contraste con la eficacia de Malwarebytes.
2. Una advertencia contra la complacencia en materia de seguridad, independientemente de la cantidad de criptomonedas manejadas.
3. Un consejo severo contra el ingreso de frases semilla bajo cualquier pretexto, y en su lugar se recomienda una nueva configuración del sistema.
4. Abandonando Chrome por navegadores más seguros como Brave.
5. La importancia de la segregación de dispositivos, especialmente para las transacciones de criptomonedas.
6. Monitoreo periódico de alertas de actividad de Google.
7. Recomendaciones para deshabilitar la sincronización de extensiones, especialmente en dispositivos designados para criptografía.
8. Un reconocimiento de las limitaciones de la 2FA.
9. La necesidad de realizar auditorías de seguridad rutinarias y actualizaciones de procedimientos para protegerse de amenazas latentes.

En medio de pérdidas financieras, Sell When Over aclaró que su billetera de hardware permanecía segura, descartando cualquier especulación sobre motivos de evasión fiscal tras esta revelación. A pesar de que una parte de los fondos robados comenzaba a blanquearse, se ofreció una recompensa de $150,000 por su devolución, junto con la consideración de una investigación forense basada en recompensas.

La saga concluyó con una nota de vigilancia continua, especialmente en el contexto de la cuestionable decisión de Google de emitir alertas de seguridad, una medida que potencialmente enmascaró la intrusión.