Los datos robados de criptomonedas se venden en la dark web por $105

Las cuentas de criptomonedas robadas se venden en la dark web por un precio promedio de $105. Los datos se recopilan de ataques de phishing y se consideran el primer paso en una compleja cadena de suministro de robo.

El precio de una sola cuenta de criptomonedas oscila entre $60 y $400, según SecureList. Los hackers capturan datos de criptomonedas, los monetizan inmediatamente o los mantienen en una base de datos. El destino final depende del tipo y la calidad de los datos capturados.

Cómo los datos robados de criptomonedas salen de los sitios de phishing

Los datos de criptomonedas capturados salen de una página de phishing de tres maneras: entrega por correo electrónico, entrega mediante bot de Telegram o carga en el panel de administración.

Los atacantes también abusan de servicios legítimos para ocultar su actividad. Estos incluyen Google Forms, Microsoft Forms, GitHub, Discord y otras plataformas similares.

En la entrega por correo electrónico, los datos se recopilan de formularios HTML falsos y luego se envían a un script del lado del servidor, generalmente PHP. El script luego reenvía los detalles robados a una dirección de correo electrónico controlada por el atacante.

Un kit de phishing tiene un archivo para alojar la página de inicio de sesión falsa, un script para procesar el formulario y un tercer archivo que contiene la dirección de correo electrónico del atacante. Sin embargo, la entrega por correo electrónico está disminuyendo debido a retrasos, bloqueo por parte de los proveedores y mala escalabilidad.

En lugar de correo electrónico, muchos kits ahora envían datos directamente a bots de Telegram. El script malicioso llama a la API de Telegram usando un token de bot y un ID de chat. A veces, la llamada a la API está incrustada directamente en el código HTML.

Telegram se ha convertido en un canal preferido para los hackers. Los datos robados llegan al instante. Los operadores reciben alertas en tiempo real. Los bots son desechables y difíciles de rastrear. Y el alojamiento no importa mucho.

Los atacantes avanzados prefieren los paneles de administración. Son parte de un marco o esqueleto que captura datos de criptomonedas y los envía a una base de datos. El atacante gestiona los datos a través de una interfaz web.

Los paneles de administración proporcionan estadísticas en vivo por hora y país. Incluyen verificaciones automatizadas de credenciales. El marco también exporta datos para su reventa o reutilización. Estos paneles son esenciales para las operaciones de phishing organizadas.

Venta de datos robados de criptomonedas

Los datos de criptomonedas son valiosos porque a menudo conducen a fondos. Los datos robados podrían venderse en tiempo real o entrar en una cadena de reventa, según SecureList de Kaspersky.

Los hackers atacan los inicios de sesión de los intercambios, el acceso a las billeteras y las cuentas de conversión de fiat. Otros datos objetivo incluyen credenciales de cuenta, números de teléfono y detalles personales.

Los inicios de sesión de billeteras con códigos de un solo uso o las cuentas vinculadas a conversores de fiat califican para ventas en tiempo real. Los datos restantes se utilizan para ataques posteriores.

Los números de teléfono podrían usarse para estafas por SMS o interceptación de 2FA. Los datos personales se utilizan para ingeniería social. Los documentos de identificación, voz, datos faciales o selfies con documentos se utilizan para abusos de alto riesgo.

La cadena de reventa comienza con ventas de volcados (dumps). Los datos se agrupan en grandes archivos o volcados. Estos contienen millones de registros de ataques de phishing. Los intermediarios compran volcados por tan solo $50.

Una vez que se adquiere un volcado, los intermediarios filtran y prueban los datos. Luego, los scripts automatizados verifican si las credenciales aún funcionan o no. El código también ve dónde más pueden ser reutilizados.

La reutilización de contraseñas hace que los datos antiguos sean valiosos. Un inicio de sesión robado hace años aún puede desbloquear una cuenta diferente hoy. Luego, los datos de múltiples ataques se fusionan. Una contraseña, un número de teléfono y un registro de un antiguo empleador pueden crear un perfil de usuario único.

Una vez que los datos robados están limpios y organizados, están listos para su reventa a estafadores. Los datos verificados se venden en foros de la dark web y canales de Telegram.

Telegram a menudo actúa como una tienda con precios y comentarios de compradores. Los precios varían según la antigüedad de la cuenta, el saldo, los pagos vinculados y el estado de 2FA.

Rangos de precios típicos:

• Cuentas de criptomonedas: $60 – $400.

• Redes sociales: centavos a cientos de dólares.

• Aplicaciones de mensajería: centavos a $150.

• Documentos personales: $0.5–$125.

El análisis de Kaspersky mostró que el 88.5% de los ataques tienen como objetivo las credenciales de la cuenta. Alrededor del 9.5% roba datos de identidad personal, mientras que solo el 2% recopila detalles de tarjetas bancarias. La firma de ciberseguridad analizó los ataques de phishing desde enero hasta septiembre de 2025.

Los datos robados de criptomonedas son un activo valioso para los cibercriminales. Se almacenan, evalúan, comercian y reutilizan. Un error de phishing puede conducir a grandes hackeos de criptomonedas, incluso años después.