Malwarebytes dijo el 1 de septiembre que un sitio web que se hace pasar por vendedor de una copia filtrada de Grand Theft Auto VI contiene código diseñado para drenar carteras de criptomonedas conectadas. El análisis técnico de la firma encontró un componente dirigido a Solana y un script separado más grande configurado para siete redes adicionales. La campaña es una amenaza de permisos de cartera más que una simple estafa de pago.
La página anuncia la supuesta filtración por $50 o un SOL y toma prestados detalles de lanzamiento plausibles para parecer creíble. Malwarebytes dijo que el código Solana en línea ignora ese precio anunciado: verifica el saldo de una cartera, deja una pequeña cantidad para tarifas de transacción y prepara el resto para transferir. Ese comportamiento hace que el precio de compra solicitado sea un señuelo más que un límite a la pérdida potencial.
El drenador apunta a activos en múltiples redes
Según los investigadores, un script separado de aproximadamente 2.4 MB incorpora software legítimo de conexión de carteras junto con funciones maliciosas. Puede inventariar tenencias, estimar su valor, enviar detalles de la cartera y del visitante al operador y recuperar transacciones para su aprobación. Las redes configuradas son Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base y Fantom; el código también puede identificar stablecoins y solicitar acceso a tokens o colecciones NFT.
La distinción entre una transferencia y una aprobación importa. Una transferencia puede mover activos de inmediato, mientras que una aprobación de token o NFT puede dejar al atacante capaz de moverlos más tarde. Campañas similares de drenadores de carteras han explotado solicitudes de permisos engañosas, haciendo que la pantalla de firma—no la página de marketing—sea el punto de control de seguridad decisivo.
Los investigadores ven señales de infraestructura alquilada
Malwarebytes dijo que el script más grande descarga un identificador de operador y configuraciones desde un servidor remoto, mientras que su dirección de destino difiere de la dirección Solana incrustada en la página. Los investigadores dijeron que esa estructura se asemeja a un servicio alojado utilizado por múltiples clientes, aunque no pudieron identificar un producto específico. La configuración remota permitiría a un operador cambiar a dónde se envían los fondos robados sin editar la página falsa de GTA en sí.
El código también perfila carteras antes de solicitar aprobación e incluye medidas destinadas a frustrar escáneres automatizados y herramientas de desarrollo del navegador. Un filtro de país opcional bloquea a visitantes de diez países de la región de la Comunidad de Estados Independientes. Malwarebytes advirtió que la lista por sí sola no establece quién construyó u opera la campaña.
La pantalla de aprobación de la cartera es la última defensa
Simplemente conectar una cartera no transfiere activos, subrayó el informe; el peligro surge cuando un usuario firma la transacción o solicitud de permiso que sigue. Los usuarios deben rechazar solicitudes que muevan casi todo el saldo o otorguen a un vendedor de juegos control sobre tokens o NFT. Prácticas más amplias de seguridad de carteras de criptomonedas también incluyen usar fuentes de descarga confiables y separar tenencias valiosas de carteras utilizadas para aplicaciones desconocidas.
Cualquiera que haya aprobado acceso debe revisar y revocar permisos activos, mientras que un usuario que ingresó una frase de recuperación debe tratar la cartera como comprometida por separado y mover los activos restantes a una cartera recién creada. El incidente extiende un patrón de campañas de phishing dirigidas a titulares de criptomonedas, en las que marcas reconocibles crean urgencia antes de una solicitud engañosa.
Lectura relacionada: Familia de trabajador de criptomonedas retenida como rehén en Francia por una transferencia de 40.000 €.
