F2Pool cofundador reporta pérdida de 490 Bitcoins ante un «generoso» hacker

Wang Chun, cofundador del importante pool de minería de Bitcoin F2Pool, compartió recientemente una anécdota personal del año pasado mientras expresaba su opinión sobre un incidente de phishing separado que costó a otra persona 50 millones de USDT. 

A diferencia de Wang Chun, la víctima está trabajando con las fuerzas del orden para encontrar al hacker, pero también le ha dado a la persona una salida para ambos.

Wang Chun pierde Bitcoin ante un hacker «generoso» 

Según Wang Chun post, el incidente que describió en su publicación ocurrió en algún momento del año pasado, y difiere de las estafas habituales en que el cofundador de F2Pool ya sospechaba que algo andaba mal con esa billetera. 

En su publicación, recordó haber sospechado que una de las claves privadas de su billetera había sido comprometida. Para determinar si la billetera estaba siendo monitoreada activamente por el hacker, Wang Chun afirma que envió deliberadamente 500 BTC. 

Por qué envió una cantidad tan grande está más allá de cualquiera, pero podría ser que necesitara un señuelo lo suficientemente grande para provocar una respuesta del hacker que monitoreaba la billetera. Bueno, obtuvo lo que buscaba porque inmediatamente los fondos tocaron la billetera, el hacker se puso activo. 

Sin embargo, según Wang Chun, este hacker no era completamente codicioso y solo drenó 490 Bitcoins, dejando 10 atrás, lo que hizo que Wang etiquetara irónicamente al atacante como «generoso». Bromeó diciendo que podrían haber drenado toda la cuenta pero eligieron dejar suficiente para su «pan y mantequilla».

La publicación de Wang deja claro que esto no fue una explotación tradicional ni una pérdida accidental; fue él sondeando intencionalmente para eliminar las dudas. Y tenía razón. Aunque le costó 490 Bitcoins. 

Wang compartió la dirección del hacker, «14H12PpQNzrS1y1ipjF4mPuVgQEpgfGA79», para referencia, pero no dijo nada sobre rastrear al hacker o intentar recuperar los fondos robados. 

En la sección de comentarios, los usuarios comentaron con confusión y escepticismo. Querían saber por qué tenía que poner a prueba su sospecha con una cantidad tan grande. Algunos incluso insinuaron que solo estaba tratando de mantener la calma y que en realidad envió el BTC sin saber que la billetera estaba comprometida. 

Otros se burlaron de él por afirmar que necesitaba 10 BTC para su «pan y mantequilla». 

¿Alguien perdió $50 millones por phishing?

Wang Chun compartió la historia de su experiencia del año pasado en respuesta a publicaciones sobre un incidente de phishing que ocurrió el 20 de diciembre, donde Cryptopolitan informó que la víctima perdió hasta 50 millones de USDT. 

El cofundador de F2Pool calificó el evento como lamentable, ya que esperaba que el usuario recuperara sus fondos. Los fondos se perdieron después de que el usuario afectado envió por error casi $50 millones en USDT a una dirección de estafa en lo que se ha etiquetado como un ataque clásico de envenenamiento de direcciones.

Según el investigador de cadena Web3 Antivirus, la víctima perdió 49.999.950 USDT después de copiar una dirección de billetera maliciosa de su historial de transacciones. El usuario era realmente cauteloso, según los datos de la cadena, ya que inicialmente envió una pequeña transacción de prueba de $50 a la dirección correcta. 

Sin embargo, el estafador inmediatamente suplantó una billetera con los mismos primeros y últimos cuatro caracteres, y luego llevó a cabo un ataque de envenenamiento de direcciones. Esto funcionó porque muchas billeteras ocultan la parte central de la dirección con «…» para que la interfaz de usuario se vea mejor.

La mayoría de la CT está acostumbrada a esto, y muchos usuarios a menudo copian la dirección de los historiales de transacciones, generalmente verificando solo las letras iniciales y finales. La víctima no fue diferente. 

Al transferir los 49.999.950 $USDT restantes, la víctima copió la dirección falsa de su historial de transacciones, verificó las letras de inicio y final, y minutos después envió la transferencia completa de $50 millones a la dirección envenenada. 

El investigador de seguridad Cos, fundador de SlowMist, ha confirmado que efectivamente había una similitud entre las direcciones, y aunque era sutil, fue suficiente para engañar incluso a usuarios experimentados. «Puedes ver que los primeros 3 caracteres y los últimos 4 caracteres son los mismos», escribió.

El atacante desde entonces ha intercambiado los USDT robados por Ether, dividiéndolo en múltiples billeteras, y lo ha movido parcialmente a Tornado Cash. Sin embargo, el usuario afectado, a diferencia de Wang Chun, no está dejando que los fondos se vayan y ha trabajado con las fuerzas del orden para rastrear al hacker. 

El usuario ha enviado un mensaje en la cadena al hacker, revelando que han presentado un caso penal y, con la ayuda de las fuerzas del orden y otras agencias, han reunido información sobre las actividades del hacker. 

Según el mensaje, el hacker tiene una última oportunidad de alejarse de este incidente sin consecuencias legales. Se requiere que el hacker devuelva el 98% de los fondos robados dentro de las 48 horas y se le ha aconsejado que conserve $1.000.000 para identificar la vulnerabilidad. La oferta depende de su cooperación inmediata. 

Si no cumple, el usuario promete escalar las investigaciones y revelar la identidad del hacker mientras persigue acciones civiles y penales hasta que se haya hecho justicia plenamente. 

La Fundación de la Comunidad ETH se pronuncia

No es la primera vez que ocurre una estafa de envenenamiento de direcciones, pero según la Fundación de la Comunidad Ethereum, debería ser la última. Con ese fin, la ECF ha llamó por un «fin a la práctica de truncar direcciones con puntos».

Según la fundación, todas las pantallas ahora pueden mostrar direcciones completas, por lo que ocultar los caracteres centrales solo sirve para crear un riesgo evitable. 

«Las billeteras y los exploradores de bloques continúan enviando opciones de interfaz de usuario que socavan activamente la seguridad del usuario», escribió la fundación en X. «Esto es solucionable».