Malware do secuestrador do portapapeis e ataque de envelenamento de enderezos: intercambiar carteira criptográfica ou IBAN ao pegar, verificando os caracteres intermedios e últimos¶

Cando copias un enderezo de carteira de criptomoneda (BTC, ETH, USDT, SOL, TRX) ou un número de conta bancaria internacional (IBAN / SWIFT / ABA) e prema pegar (Ctrl+V ou Cmd+V), dúas ameazas distintas poden redirixir silenciosamente os teus fondos a un sindicato criminal: o malware local Clipboard Hijacker ("Clipper") que se executa na memoria do teu ordenador que intercambia o texto dentro do portapapeis do teu sistema en menos de 5 milisegundos, ou un Vanity Address Poisoning Attack en cadea que contamina o teu historial de transaccións de carteira cun aspecto de falsificación 6 e 4 4 6 6 4 6 4 6 6 4 personaxes do teu destino real. Esta guía ofrece pasos inmediatos para cancelar as transaccións de cadea de bloques ou por cable pendentes, detectar e eliminar o malware local de seguimento do portapapeis e verificar os caracteres intermedios de cada enderezo de destino antes de iniciar sesión nunha pantalla de carteira de hardware.

Fai isto agora¶

1. ** Intente unha substitución inmediata de Nonce (Speed Up / Cancel) se aínda está pendente unha transacción de criptomoneda no mempool.** Abre a túa carteira (MetaMask, Rabby, Ledger Live, Electrum, Sparrow) e comprobe se o estado da transacción aínda é Pendente / Sen confirmar. Nas cadeas Ethereum e EVM, fai clic inmediatamente en Cancelar (ou envía un 0 ETH transacción ao seu propio enderezo usando exactamente o mesmo Nonce personalizado cunha tarifa de gas prioritaria un 30 por cento máis alta). En Bitcoin, execute un Replace-By-Fee (RBF) cancelación para enviar as entradas de volta á túa propia carteira antes de extraer o seguinte bloque.
2. Chame inmediatamente á unidade de fraude bancario do teu banco se é posible IBAN, ABA, ou Sort Code cambiouse ao pegar. Se o malware do portapapeis alteraba un número de conta bancaria pegado nun cable doméstico, SWIFT transferencia, ou SEPA pago, chame á liña de fraude do seu banco ou ao seu número de emerxencia local (911 nos Estados Unidos e Canadá, 112 en toda a Unión Europea, 999 no Reino Unido) para obter números de referencia de delitos policiais; ver números de emerxencia para contactos internacionais. Solicitar un inmediato SWIFT MT192 / SEPA SCT Recall e cita o desaxuste entre o Nome do Beneficiario e o Clipper substituído IBAN.
3. Determine se está a enfrontarse ao malware local Clipper ou ao envelenamento de enderezos en cadea. Abra un editor de texto plano (Notepad en Windows ou TextEdit en macOS), copie un enderezo de carteira coñecido ou unha cadea de mostra (0x71C...89A), e pégueo no ficheiro de texto. Se o texto pegado se transforma nun enderezo diferente no momento en que premes Ctrl+V, o teu dispositivo está activamente infectado con Clipper Malware; desconecte o ordenador de Wi-Fi e Ethernet inmediatamente. Se o texto pegado non cambia no Bloc de notas, copiaches un Enderezo de vanidade envelenada directamente da lista do historial de transaccións recentes da túa carteira.
4. Conxela as ramplas de saída do intercambio centralizado e arquiva un Tether (USDT) ou círculo (USDC) solicitude de lista negra de contrato intelixente. Se se rouban moedas estables (USDT ou USDC) foron enviados a unha carteira envelenada ou clipper en Ethereum, Tron (TRC-20), ou Solana, rastrexa o hash da transacción (TXID) nun explorador de bloques (Etherscan, Tronscan, Solscan) e envíe un ticket de conxelación de emerxencia para o cumprimento da lei a Tether (tether.to) ou Círculo (circle.com), que posúen claves administrativas de contrato intelixente (AddedBlackList / freeze) capaz de conxelar roubado USDT/USDC directamente dentro da carteira do atacante.
5. Evacue os fondos restantes do PC infectado usando un dispositivo separado e limpo. Porque Clipper Malware (Laplas Clipper, ClipBanker, Lumma, RedLine) case sempre se inclúe dentro dunha credencial máis ampla e un inforobador de frases sementes, supoña que todas as carteiras de software (MetaMask, Phantom, Exodus) e o contrasinal gardado nese ordenador está comprometido. Non escriba a súa frase semente nin as claves privadas na máquina infectada.

Diagnosticar o ataque: Malware local Clipper vs. Envelenamento de enderezos en cadea¶

Aínda que ambos ataques provocan que o teu diñeiro chegue á carteira dun atacante en lugar do enderezo do destinatario previsto, a súa mecánica técnica é completamente diferente. Debes identificar o ataque que se produciu nos primeiros 60 segundos porque Local Clipper Malware significa que o teu sistema operativo está incumprido, mentres que Address Poisoning ocorre enteiramente na cadea de bloques pública sen ningún malware no teu dispositivo.

1. Como funciona o malware Local Clipboard Hijacker ("Clipper")¶

Un Clipper (Trojan.Clipper, Cryxos, ClipBanker, Laplas) é un proceso lixeiro en segundo plano, unha extensión maliciosa do navegador Chrome/Firefox ou un paquete de código aberto trojanizado que rexistra un gancho na API do portapapeis do sistema operativo (AddClipboardFormatListener en Windows ou NSPasteboard en macOS). * Coincidencia de patróns regex en tempo real: Cada vez que premes Ctrl+C (Copiar), o malware inspecciona a cadea copiada contra as expresións regulares (Regex) buscando patróns que coincidan cun enderezo de Bitcoin (bc1q..., 1..., 3...), un enderezo de Ethereum/EVM (0x seguido de 40 caracteres hexadecimais), un Tron TRC-20 enderezo (T seguido de 33 caracteres), un enderezo de Solana ou un europeo/Reino Unido IBAN (DE89..., GB29...). * Substitución instantánea: Dentro de 2 a 5 milisegundos, antes de que os dedos se movan Ctrl+C a Ctrl+V, o malware sobrescribe o búfer do portapapeis do sistema cun enderezo propiedade do atacante. Servizos avanzados como Laplas Clipper incluso xerar un enderezo de vanidade en tempo real a partir dunha enorme base de datos precalculada de millóns de enderezos de atacantes para que os primeiros 3 ou 4 caracteres e os últimos 3 ou 4 caracteres do enderezo do portapapeis substituído coincidan co que acabas de copiar.

2. Como funciona o envelenamento de enderezos de vanidade en cadea (cero malware)¶

Nun ataque de envelenamento por enderezos, o teu ordenador, teléfono e carteira non son pirateados. Pola contra, os actores de ameazas blockchain executan bots automatizados que supervisan a todos os públicos USDT, USDC, ETH, TRX, e WBTC transferencia en Ethereum, Tron, Arbitrum, BSC e Solana. * O xerador de prefixos/sufixos de vanidade: no momento en que envías unha transferencia lexítima (mesmo unha transferencia de proba de prácticas de contrato intelixente de $10) a un enderezo de destinatario real, por exemplo: * Enderezo real: 0x89205A3A3b2A69De6Dbf7f01ED13B2108B2c43e7 * O atacante usa clústeres de GPU para xerar un enderezo de carteira falsificado cuxos primeiros 5 caracteres (0x89205...) e os últimos 5 caracteres (...c43e7) son 100 por cento idénticos ao enderezo do destinatario real, mentres que os 30 caracteres do medio son completamente diferentes: * Enderezo parecido envelenado: 0x89205f91c48012b3847109ab84910283749c43e7 * Contaminando o teu historial de transaccións (Zero-Value ou Fake Token Spoofing): Porque os contratos intelixentes ERC-20 e TRC-20 (transferFrom) permitir a calquera emitir a 0 USDT transferir o evento da súa carteira sen a súa clave privada (ou enviar $0.0001 "po" ou unha falsificación falsificada de Unicode USDТ token), o atacante insire unha transacción falsa no rexistro de transaccións públicas da túa carteira para que o seu enderezo parecido envelenado se atope na parte superior da túa lista de "Transaccións recentes". * A trampa de truncamento da IU: porque as carteiras para móbiles e navegadores (MetaMask, Trust Wallet, Ledger Live, TronLink, Etherscan) trunque os enderezos longos de 42 caracteres na pantalla como 0x89205...c43e7 para aforrar espazo, tanto o enderezo real como o enderezo envelenado parecen visualmente idénticos no teu historial de transaccións. A vindeira semana, cando vaia enviar o real $50,000 transferir e copiar con preguiza o enderezo da súa propia "última transacción" no historial da súa carteira en lugar da súa axenda de enderezos, copia o enderezo envelenado do atacante. * Create2 Smart Contract Pre-cómputo: En ataques avanzados dirixidos a tesouros de alto valor neto, os atacantes usan o EVM CREATE2 opcode para xerar previamente millóns de enderezos de contrato intelixente inactivo con coincidencias de prefixos de 6 e sufixos de 6 caracteres (12 matching hex characters total). Cando unha vítima envía fondos ao enderezo inactivo, o atacante aplica un contrato de varredora nese mesmo momento. CREATE2 dirección para drenar os fondos automaticamente.

Fluxo de traballo de emerxencia: proba dunha carteira intercambiada ou transferencia IBAN¶

Siga esta árbore de decisión inmediatamente despois de descubrir que un enderezo pegado non coincide co destino previsto.

flowchart TD
    A["Descubriuse un enderezo criptográfico ou IBAN incorrecto despois de pegar"] --> B{"A transacción xa se emitiu/enviouse?"}
    B -- "Non (Pillado antes de asinar)" --> C["Proba o portapapeis no Bloc de notas: copia o enderezo real e pega"]
    B -- "Si (Xa enviado)" --> D{"É Crypto en Mempool, Crypto confirmado ou IBAN bancario?"}
    C --> E{"O texto pegado cambiou no Bloc de notas?"}
    E -- "Si: malware local de Clipper" --> F["Desconecte Internet Inmediatamente; Servizos de dixitalización/Extensións/Tarefas"]
    E -- "Non: Intoxicación por enderezos en cadea" --> G["Eliminar contacto envelenado; Lista branca do enderezo real na carteira de hardware"]
    D -- "Crypto aínda pendente en Mempool" --> H["Emisión Nonce Cancel (EVM + 30% Gas) ou Bitcoin RBF inmediatamente"]
    D -- "Crypto en cadea confirmado" --> I["Trace TXID: Conxelación de emerxencia do ficheiro con Tether (USDT)/Círculo (USDC)/CEX"]
    D -- "IBAN bancario / transferencia bancaria" --> J["Chamada á mesa de fraude bancaria: demanda SWIFT MT192 / SEPA Recall + Cite Name Mismatch"]

Comparación de secuestro de portapapeis e vectores de envelenamento de enderezos¶

Use esta táboa de referencia para identificar como se produciu o intercambio de enderezos e que artefactos forenses existen no seu sistema ou explorador de cadeas de bloques.

Accións de emerxencia paso a paso se os fondos se enviaron ao enderezo incorrecto¶

Se presionou "Enviar" ou asinou a transacción antes de notar que os caracteres do medio do enderezo pertencían a un Clipper ou Address Poisoner, executa estes pasos inmediatamente.

1. Cancelar unha transacción de criptomoeda non confirmada no mempool (primeiros 10 a 60 segundos)¶

Se a rede blockchain está conxestionada ou estableces unha tarifa de gasolina/satoshi baixa, é posible que a túa transacción aínda estea no mempool público á espera de ser incluída nun bloque: * En Ethereum, Arbitrum, Polygon, Optimism, Base e BSC (EVM Cadenas): 1. Aberto MetaMask, Rabby, ou Trust Wallet e mira a pestana Actividade. Se a transacción di Pendente, fai clic no botón Cancelar inmediatamente e selecciona Taxa de gas agresiva/alta. 2. Sobrescritura manual Nonce (máis fiable): Activa Personaliza transacción nonce na configuración avanzada da túa carteira. Busca a túa transacción pendente Etherscan para atopar o seu número Nonce exacto (por exemplo, Nonce: 42). Iniciar inmediatamente un novo envío de transacción 0 ETH ao teu propio enderezo de carteira, introdúceo manualmente 42 no campo Nonce personalizado e configure a Taxa de prioridade máxima (Gwei) polo menos entre un 30 % e un 50 % máis que a transacción atascada. Os mineiros/validadores procesarán a súa taxa máis alta 0 ETH transacción primeiro, invalidando a transferencia maliciosa con Nonce 42. * En Bitcoin (BTC): 1. As carteiras máis modernas (Electrum, Sparrow, Ledger Live, BlueWallet) activar Substitución por tarifa de activación (BIP-125 RBF) por defecto. 2. Fai clic co botón dereito na transacción de saída sen confirmar no historial da túa carteira e selecciona Cancelar transacción (Double-Spend to Self) ou Bump Fee/Modify Output, establecendo unha taxa de tarifa significativamente máis alta (sat/vB comprobado contra mempool.space) para que os mineiros confirmen a transacción de substitución ao seu propio enderezo de cambio.

2. Conxelación roubada USDT (Tether) ou USDC (Círculo) a través da lista negra de contratos intelixentes¶

A diferenza de Bitcoin ou Ethereum nativos, as dúas maiores moedas estables en dólares estadounidenses, Tether (USDT) e Círculo (USDC), conteñen funcións administrativas centralizadas (blacklist, freeze, destroyBlackFunds) escritos directamente nos seus contratos intelixentes de token en Ethereum (ERC-20), Tron (TRC-20), Solana, Polígono e Avalancha. 1. Aberto Etherscan.io ou Tronscan.org e pega o teu hash de transacción (TXID). Comproba se o roubado USDT ou USDC está aínda sentado dentro da carteira de vanity/clipper do atacante ou unha carteira intermediaria. Envelenadores de enderezos moitas veces deixan roubados USDT no enderezo de vanidade durante horas ou días antes de cambialo mediante intercambios descentralizados (DEXs) ou pontes de cadeas cruzadas. 2. Presente inmediatamente un informe de emerxencia con FBI IC3 (ic3.gov(tether.to/en/contact-us) ou Rodea as solicitudes de aplicación da lei co exacto: * Enderezo da carteira da vítima * O enderezo da carteira de destino do atacante mantén o actual USDT/USDC equilibrio * Hash de transacción (TXID) e marca de tempo 3. Informe tamén do roubo simultaneamente ás redes de resposta a incidentes de intelixencia blockchain como Chainalysis, TRM Labs (Chainabuse.com), SEAL 911 (Security Alliance Bot de emerxencia de Telegram @seal_911_bot para hacks criptográficos agudos), e as mesas de conformidade de calquera intercambio centralizado (Binance, Coinbase, OKX, Kraken, Bybit, FixedFloat, ChangeNOW) se o atacante transfire os fondos a un enderezo de depósito de cambio.

3. Recuperación dun cable bancario intercambiado por Clipper ou IBAN transferencia¶

Cando o malware de Clipper se dirixe aos usuarios de empresas ou de banca persoal, observa as copias IBAN cadeas (como copiar un IBAN a partir da factura PDF dun provedor en Adobe Reader e pegala nun portal de banca en liña) e intercambia o IBAN cunha conta de mula de diñeiro mentres non se toca o Nome do beneficiario. * Invocar a verificación do beneficiario (VoP / Confirmation of Payee) e regras de incompatibilidade de nomes: Chame inmediatamente á unidade de fraude bancaria do teu banco. Explique que Clipper Malware alterou o pegado IBAN número no seu ordenador e que o Nome da conta do beneficiario que figura na orde de pago non coincide co propietario legal do substituto. IBAN. * Según o Regulamento de pagos instantáneos da Unión Europea (EU Regulation 2024/886) e a confirmación do beneficiario do Reino Unido (CoP) marcos: Os provedores de servizos de pago deben verificar que o IBAN e o nome do beneficiario coinciden antes da execución e deben transmitir un ** inmediatoSEPA Credit Transfer (SCT) Recall (camt.056)** para fraude dentro da ventá de compensación interbancaria. * Preservando a suma de comprobación EIP-55 e a evidencia do IBAN Mod-97: Documente o exacto IBAN que estaba dentro da súa factura orixinal en PDF fronte ao IBAN transmitido no seu rexistro de auditoría bancaria en liña. Porque IBAN as cadeas inclúen unha suma de verificación ISO 7064 Mod-97-10 de 2 díxitos inmediatamente despois do código do país (por exemplo, GB29 ou DE89), un erro tipográfico humano case sempre falla na validación matemática Mod-97 do portal bancario inmediatamente. Demostrando que está mal IBAN tiña un díxito de verificación Mod-97 matematicamente válido demostra aos investigadores de fraude do teu banco que un Clipper automático substituíu a cadea completa da conta en lugar de que un usuario cometese un erro ao pulsar a tecla.

Buscar e erradicar o malware local Clipper (Windows, macOS e navegadores)¶

Se a proba do Bloc de notas demostrou que o portapapeis está mutando activamente os enderezos de carteira copiados ou IBAN números, a súa máquina está executando unha carga útil Clipper activa. Sigue estes pasos sen conexión para illalo e eliminalo.

Fase 1: comproba se o Clipper vive dentro das extensións do teu navegador web¶

Antes de buscar nos ficheiros do sistema, determine se unha extensión do navegador non autorizada é responsable: 1. Aberto Notepad.exe (Windows) ou TextEdit (macOS) co teu navegador web completamente pechado (verifique a través do Xestor de tarefas Ctrl+Shift+Esc que sen fondo chrome.exe ou msedge.exe procesos están en execución). 2. Escriba un enderezo falso de Ethereum (0x1111222233334444555566667777888899990000) no Bloc de notas, resálteo e prema Ctrl+C, vaia a unha nova liña e prema Ctrl+V. 3. Se o enderezo NON cambia no Bloc de notas cando se pecha o navegador, pero si cambia ao copiar desde Chrome/Edge/Brave: Tes unha extensión de navegador maliciosa (Malicious Clipper Extension). * Abre o teu navegador, escribe chrome://extensions (ou edge://extensions / about:addons), e elimina todas as extensións non recoñecidas, especialmente os bloqueadores de anuncios falsos, conversores de PDF, conmutadores de modo escuro, aumentadores de volume ou falsos. Ledger/Uniswap/MetaMask extensións auxiliares. * Restablecer a sincronización do navegador en chrome.google.com/sync polo que Google non reinstala automaticamente a extensión maliciosa cando volve iniciar sesión.

Fase 2: Identificación e eliminación de procesos Clipper a nivel de SO no modo seguro¶

Se o enderezo cambia incluso dentro Notepad con todos os navegadores pechados, tes un Clipper a nivel de sistema operativo (ClipBanker, Laplas, Phemedrone, RedLine).

En Windows 10 e Windows 11¶

1. Desconéctese da wifi e desenchufe Ethernet inmediatamente.
2. Abre Xestor de tarefas (Ctrl + Shift + Esc), fai clic na pestana Aplicacións de inicio e desactiva calquera programa descoñecido (os Clippers adoitan disfrazarse de Realtek HD Audio Helper, Windows Updater, Java Update Scheduler, ou OneDrive Sync Host situado no interior AppData\Roaming\ en vez de C:\Windows\System32\).
3. Abrir Programador de tarefas (Win + R -> taskschd.msc). Inspecciona todas as tarefas na Biblioteca do Programador de tarefas. Os Clippers persisten de forma abrumadora creando unha Tarefa programada que se executa cada 1 minuto ou no inicio de sesión do usuario, invocando un comando PowerShell oculto. .vbs guión, AutoIt3.exe guión, ou .exe almacenado dentro:
4. C:\Users\<Username>\AppData\Roaming\
5. C:\Users\<Username>\AppData\Local\Temp\
6. C:\ProgramData\
7. Preme Win + R, tipo regedit, e verifique as catro claves de Execución primarias onde os Clippers se rexistran para iniciarse no inicio:
8. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
9. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
10. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

En macOS (NSPasteboard Ladróns: Atomic Stealer AMOS, Poseidon)¶

1. Desconectar da wifi.
2. Abre Monitor de actividade e busca procesos sen asinar ou monitorización de scripts Python/osascript ocultos NSPasteboard.
3. Preme Cmd + Shift + G no Finder e comproba /Library/LaunchAgents/, /Library/LaunchDaemons/, e /Users/<YourUsername>/Library/LaunchAgents/ para canalla .plist ficheiros de persistencia.

Defensa da carteira de hardware: como facer imposibles os ataques de Clipper e Poisoning¶

Aínda que o teu ordenador estea infectado co programa malicioso Clipper máis avanzado do mundo ou o teu historial de transaccións estea inundado de centos de enderezos de vanidade envelenados, ningún dos dous ataques pode roubarche os teus fondos se segues unha estrita carteira de hardware (Ledger, Trezor, Keystone, Coldcard, GridPlus) Protocolo de verificación da pantalla física:

1. A regra de verificación de caracteres "Middle-8 + Start-4 + End-4": Nunca mires o monitor do teu ordenador para verificar un enderezo, porque unha extensión de navegador maliciosa pode mostrar o enderezo real na pantalla do teu ordenador mentres envía o enderezo do atacante á túa carteira en segundo plano. En cambio, mira directamente a pantalla física OLED/E-Ink da túa carteira de hardware e compáraa cunha segunda canle de comunicación independente (como unha foto do código QR do destinatario no teu teléfono intelixente ou unha lectura de voz verificada dos caracteres do medio):

0x 8920 [5A3A3b2A69De6Dbf7f01ED13B2108B] 2c43e7
   ====              ==========            ======
  Start-4          Verify Middle-10        End-6

1. Nunca copies un enderezo do teu historial de "Transaccións recentes" ou do Explorador de bloques: Trata o historial de transaccións da túa carteira (Activity en MetaMask, Ledger Live, Trust Wallet ou Etherscan) como graffiti público non fiable. Calquera persoa da terra pode inserir filas falsas no teu historial de transaccións públicas. Pola contra:
2. Garda cada contraparte recorrente, enderezo de depósito de cambio e carteira de almacenamento frigorífico dentro da Libreta de enderezos/lista branca de contactos nativa da túa carteira (Settings -> Contacts en MetaMask/Rabby) cunha etiqueta humana clara ("My Coinbase USDC Deposit").
3. Unha vez que se garda un enderezo na súa axenda de enderezos, as carteiras modernas substitúen o truncado 0x1234...5678 cadea hexadecimal coa insignia de nome gardada do contacto na interface. Se unha transacción do teu historial mostra caracteres hexadecimales en lugar da túa insignia de contacto gardada, saberás inmediatamente que é un enderezo de impostor envelenado.
4. Cambia a un cliente de carteira centrado na seguridade (Rabby, Frame, ou Ledger Clear Signing) con detección de intoxicación: Carteiras como Rabby Wallet e Alertas de seguranza de MetaMask Blockaid marcan automaticamente as transferencias por primeira vez a un enderezo que nunca recibiu fondos de ti antes, advirtenche se un enderezo imita visualmente un contacto anterior (Similarity Warning), e esconderse 0-value transferencias de token falsificadas do teu feed de actividade principal.

Lista de verificación de corrección posterior a un incidente¶

• Evacuar os activos criptográficos restantes a unha nova carteira de hardware: Usando un teléfono intelixente limpo ou un ordenador sen compromisos, xera unha frase nova de 24 palabras nunha carteira de hardware e transfire todos os tokens, NFT e activos de gas nativo restantes fóra de calquera carteira de software (MetaMask, Phantom, Trust Wallet, Exodus) que existía no ordenador infectado por Clipper.
• Revogar as aprobacións de token ERC-20/TRC-20 activas: Use revoke.cash (desde un dispositivo limpo) para revogar calquera asignación ilimitada de gasto en token asociada con carteiras quentes comprometidas.
• Reinstale o sistema operativo completamente limpo a través de USB se se confirmou o malware Local Clipper: Fai unha copia de seguranza só de documentos persoais e borra todas as particións do disco usando un instalador USB limpo de Windows/macOS creado nun ordenador separado (consulta o noso Guía de eliminación de extensións de navegador maliciosos e secuestradores de portapapeis).
• Rota todos os contrasinais gardados no navegador e revoga as sesións activas: Cambia os contrasinais para o correo electrónico, a banca e os intercambios centralizados (Coinbase, Binance, Kraken) e pecha sesión en todas as sesións activas.
• Arquiva informes oficiais de aplicación da lei e de intelixencia blockchain:
• Estados Unidos: Arquiva un FBI IC3 (ic3.gov) informe que inclúe o hash de transacción exacto (TXID), o enderezo da carteira e o enderezo da carteira Clipper/Poisoned do atacante.
• Reino Unido: Informar a Acción Fraude (actionfraud.police.uk).
• Unión Europea/Global: Informe a través de portais nacionais de ciberdelincuencia de Europol, Chainabuse (chainabuse.com), e Etherscan/Tronscan "Informe/Marca Enderezo" polo que o enderezo do atacante está marcado publicamente cun vermello Fake_Phishing / Address Poisoning pancarta de advertencia para futuras vítimas.

Preguntas frecuentes¶

Como un estafador fixo que Etherscan ou Tronscan mostraran a $0 USDT transferencia que sae * da miña carteira (From: My Wallet -> To: Scammer Wallet) se non teñen a miña clave privada ou frase semente?¶

Esta é unha peculiaridade de como os contratos intelixentes de token estándar **ERC-20 e TRC-20** (`transferFrom` función) están escritos en Ethereum, Tron y BSC. Cando un terceiro chama `transferFrom(Sender, Recipient, Amount)`, o contrato intelixente comproba se a persoa que chama ten unha asignación autorizada (`approve`) para iso `Amount`. Porque o teu subsidio predeterminado a un estraño é `0`, chamando `transferFrom(Your_Wallet, Scammer_Vanity_Wallet, 0)` require un subsidio de `0 <= 0`, que se avalía como **Verdadero** e ten éxito sen necesidade da túa sinatura ou clave privada. A túa carteira nunca foi pirateada; o atacante simplemente pagou uns céntimos en gasolina para que o contrato USDT emitise un público `Transfer` rexistro de eventos que enumera o seu enderezo no `From` columna para que o seu enderezo similar apareza no historial de saída da túa carteira.

Por que o estafador me enviou unha transacción falsa de 50,000 USDT xusto despois de enviar un $10 proba de transacción ao meu amigo?¶

Os usuarios criptográficos experimentados adoitan enviar un pequeno `$10` proba a transacción primeiro, verifique que o seu amigo a recibiu e, a continuación, vai á pestana "Actividade recente" da súa carteira para copiar o enderezo de destino do principal `$50,000` transferencia. Os bots de envelenamento de enderezos vixian especificamente para os pequenos `$1 to $100` transferencias. Dentro de 10 segundos da túa `$10` confirmando a transferencia de proba na cadea, o bot automatizado do atacante xera un enderezo de vanidade que coincide cos 5 primeiros e os últimos caracteres do enderezo do teu amigo e transmite unha transferencia de tokens falsos desde a túa carteira ao seu enderezo de vanidade para que **o seu enderezo envelenado estea unha fila máis arriba na túa lista de Actividade recente que o teu real. `$10` transferencia de proba**.

O malware Clipper pode infectar un iPhone (iOS) ou teléfono Android, ou só afecta aos ordenadores Windows e Mac?¶

Aínda que os oíntes clásicos do portapapeis en segundo plano son máis comúns en Windows e macOS, os dispositivos móbiles tamén están dirixidos. A partir de **iOS 14+** e **Android 12+**, o sistema operativo mostra un banner de brindis visible na parte superior da pantalla (`"App pasted from Chrome"`) sempre que unha aplicación le o portapapeis e impide que as aplicacións en segundo plano lean ou sobrescriban o portapapeis en silencio sen o foco en primeiro plano. Non obstante, as aplicacións de carteira móbil falsificadas (`fake Ledger Live`, `fake Trust Wallet`, ou Android cargado lateralmente `.apk` troianos como `SharkBot` e `Xenomorph`) e os teclados móbiles maliciosos aínda poden interceptar e intercambiar pegados `IBAN` e enderezos criptográficos mentres a aplicación está aberta na pantalla.

Se por casualidade enviei $25,000 en USDT a un enderezo envelenado, hai algunha posibilidade de que o atacante negocie unha devolución de "recompensa de sombreiro branco" se lles envío unha mensaxe en cadea (IDM)?¶

En casos moi raros e de alto perfil nos que se inclúen millóns de dólares en activos rastreables, a presión das forzas da lei combinada cunha mensaxe de datos de entrada na cadea (`UTF-8 hex message` enviado nunha pequena transacción ETH ao enderezo do atacante que ofrece unha recompensa do 10 ao 20 por cento ou aviso de conxelación inminente de Tether e exposición a CEX KYC) deu lugar a devolucións parciais. Non obstante, **nunca pagues ningún "pirata informático de recuperación de criptografía" de terceiros ou taxas por adiantado** e prioriza a obtención de **Tether (`USDT`) ou círculo (`USDC`) para lista negra e conxelar primeiro o saldo do contrato intelixente**. Unha vez que Tether conxela o roubado `USDT` dentro do enderezo do atacante, o atacante nunca pode gastar nin mover esas fichas, e Tether pode queimar as fichas conxeladas e reemitir (`re-mint`) devólvenos á vítima verificada tras recibir unha orde xudicial ou policial válida.

Guías relacionadas¶

• O malware de Clipper e o envelenamento de direccións de vanidade nas transferencias criptográficas e IBAN bancarias
• Extensións maliciosas do navegador, secuestradores de portapapeis e eliminación de adware
• Drenaxe de carteira de criptomoedas e compromiso de frase semente
• CAPTCHA falso ClickFix PowerShell Win+R malware do portapapeis e corrección de Lumma Infostealer
• Compromiso de correo electrónico empresarial corporativo (BEC) e retirada de fraude telemático
• Números de emerxencia por país

Fontes e orientacións oficiais¶

• Oficina Federal de Investigación (FBI) Internet Crime Complaint Center (IC3) (Estados Unidos): Anuncios de servizo público sobre envelenamento de enderezos de vanidade de criptomonedas e malware Infostealer/Clipper.
• Tether Operations Limited (tether.to) & Circle Internet Financial (circle.com): Conxelación da aplicación da lei, lista negra (AddedBlackList), e Procedementos de recuperación de activos por roubo USDT e USDC.
• Consello Europeo de Pagos (EPC) e Unión Europea (Regulation (EU) 2024/886): Transferencia de crédito SEPA (SCT) Procedementos de retirada por fraude e verificación do beneficiario (VoP / IBAN-Comprobación de nomes) Normas.
• Centro Nacional de Ciberseguridad (NCSC) (Reino Unido): Mitigar o malware, o compromiso de extensión do navegador e a fraude de redirección de pagos.
• Marco MITRE ATT&CK®: Técnica T1115 (Recollida e manipulación de datos do portapapeis).