Drenaxe de carteira de criptomoedas, contratos intelixentes maliciosos e compromiso de frases sementes¶

Descubrir que a súa carteira de criptomoeda autocustodia (como MetaMask, Rabby, Phantom, Trust Wallet, Coinbase Wallet ou unha carteira de hardware como Ledger ou Trezor) está sendo activamente esgotada de tokens e NFT é unha emerxencia financeira dixital aguda segundo a segundo. Dado que as transaccións públicas de cadea de bloques en Ethereum, Bitcoin, Solana, Arbitrum, Base, Polygon e BNB Chain son criptograficamente irreversibles unha vez confirmadas nun bloque, a súa capacidade para gardar os activos restantes depende enteiramente do que faga nos primeiros cinco minutos.

Cada drenaxe da carteira de criptomonedas cae nunha das dúas categorías técnicas distintas: ou asinaches unha aprobación de contrato intelixente malicioso ou a sinatura Permit2 nun sitio web de phishing (o que permite que un atacante extraia tokens específicos do teu enderezo sen ter a túa frase inicial), OU a túa de 12 a 24 palabras de recuperación secreta de palabras clave de semente de sementes ou de clave privada hack, ou infostealer virus). Diagnosticar cal dos dous ataques está a ocorrer, crear unha carteira de rescate limpa con espazo de aire nun dispositivo sen compromisos, revogar as asignacións de fichas ilimitadas e rastrexar os fondos roubados ata as ramplas de cambio centralizadas ofrécelle a mellor oportunidade de deter o drenaxe e conxelar os activos roubados.

Fai isto agora¶

Se ves transaccións saíntes non autorizadas que esgotan a túa carteira de criptomonedas ou te das conta de que acabas de conectarte a un sitio de phishing ou filtraches a túa frase inicial, realiza estes seis pasos na orde exacta:

1. NON uses o mesmo ordenador para xerar unha nova carteira de rescate: se o teu PC ou Mac está infectado con malware infostealer (como Lumma Stealer, Atomic macOS Stealer ou Poseiden) ou unha extensión de navegador maliciosa, ao crear unha carteira nova nese mesmo ordenador entrégase inmediatamente a túa nova frase inicial ao atacante. Colle un smartphone ou carteira de hardware separado e limpo para crear un enderezo de carteira de destino novo e sen compromisos agora mesmo.
2. Primeiro transfira as túas fichas de gas nativa e moedas transferibles á nova carteira limpa: antes de facer calquera outra cousa, envía as moedas transferibles restantes (ETH, BTC, SOL, USDC, USDT, WBTC) desde a carteira comprometida directamente ao teu novo enderezo de carteira limpa. Deixa só uns poucos dólares de gas nativo (como 3 a 5 USD de ETH, SOL ou BNB) se precisas revogar as aprobacións de contratos intelixentes nas posicións bloqueadas restantes.
3. Determine se o atacante ten a súa frase semente ou só unha aprobación de token malicioso:
   • Sinal dun contrato intelixente malicioso/Aprobación de Permiso2: só se extraeu un token específico (como USDT ou unha colección NFT) mediante TransferFrom despois de facer clic en "Aprobar" ou en "Asinar" nun sitio web, mentres o seu balance de gas ETH/SOL nativo permanece intacto.
   • Sinal dunha frase de semente comprometida/chave privada: cada moeda de varias cadeas de bloques diferentes (Ethereum, Solana, Bitcoin, Arbitrum) está sendo eliminada por vía directa. Transfer chamadas e calquera ETH/SOL nativo que envíes é roubado en 1 segundo por un bot de barredora automatizado.
4. Revoga inmediatamente todas as aprobacións activas de tokens de contrato intelixente: se o teu gas ETH/SOL nativo aínda está na túa carteira, abre un xestor de subsidios de confianza (revoke.cash, Etherscan Token Approval Checker en etherscan.io/tokenapprovalchecker, ou o xestor de aprobación integrado de Rabby Wallet) e Revogar todas as aprobacións ilimitadas de gasto de tokens e sinaturas Permit2 concedidas a enderezos de contrato descoñecidos.
5. Desconecta todas as sesións activas de dApp e as ligazóns de WalletConnect: abre a configuración da túa carteira -> Sitios conectados/Sesións de WalletConnect e fai clic en Desconectar todo para que o sitio web de phishing xa non poida mostrar solicitudes de sinatura.
6. Se un "Sweeper Bot" está roubando ao instante o gas que depositas para rescatar fichas apostadas, usa un paquete de rescate Flashbots/MEV: nunca sigas enviando ETH a unha carteira controlada por un bot barredora, o script automatizado do bot supervisa o mempool e rouba o teu ETH en milisegundos antes de que poidas facer clic en "Unstake". No seu lugar, use un servizo privado de rescate de paquetes atómicos ERC-4337/Flashbots MEV (como flashbots.net ferramentas de sombreiro branco ou revoke.cash funcións de tarifas delegadas) para financiar gas e extraer fichas nun único bloque non-frontrunnable.

Árbore de decisión: deter unha fuga de carteira criptográfica activa¶

Siga este diagrama de fluxo de clasificación técnica en tempo real para deter o sangrado e rescatar os seus activos dixitais superviventes:

flowchart TD
    A["Detectáronse transaccións criptográficas saíntes non autorizadas"] --> B["Xera unha carteira limpa nova nun dispositivo ou carteira de hardware separado"]
    B --> C{"Escribiches a túa frase inicial de 12/24 palabras ou descargaches un ficheiro, ou só fai clic en Asinar/Aprobar nun sitio?"}
    C -->|"Só se fixo clic en Asinar/Aprobar/Reclamar nunha dApp"| D["Contrato intelixente malicioso ou drenaxe Permit2"]
    D --> E["Vaia inmediatamente a revoke.cash ou Aprobacións de tokens de Etherscan e revoque as asignacións maliciosas"]
    E --> F["Transfire as fichas líquidas restantes á túa nova carteira limpa como precaución"]
    C -->|"Escribiu a frase semente, exportou a clave privada ou executou malware para PC"| G["Frase semente completa/Compromiso de chave privada"]
    G --> H{"Un Sweeper Bot automatizado está roubando ao instante calquera gas ETH/SOL que depositas?"}
    H -->|"Non: o gas nativo aínda funciona"| I["Evacua todas as moedas líquidas e elimina as posicións de DeFi inmediatamente para unha nova carteira limpa"]
    H -->|"Si: Sweeper Bot rouba gasolina en menos de 2 segundos"| J["DEIXA DE enviar gasolina. Use o paquete atómico RPC privado de Flashbots para rescatar fichas apostadas/airdrop"]
    F --> K["Rastrexa a carteira do atacante en Block Explorer, informe a Exchange Compliance e FBI IC3/Police"]
    I --> K
    J --> K

Diagnóstico do vector de ataque: Smart Contract Drainer vs Seed Phrase Compromise¶

Para evitar perder máis diñeiro ao tentar salvar a súa carteira, primeiro debes comprender como o atacante move os teus fondos buscando o enderezo da túa carteira nun explorador de bloques público (etherscan.io, solscan.io, arbiscan.io, basescan.org, ou mempool.space).

Comparación dos catro principais mecanismos de drenaxe da carteira de criptomoedas¶

Protocolo 1: deter un contrato intelixente malicioso ou Permit2 Escurridor¶

Cando interactúas con protocolos de finanzas descentralizadas (DeFi) en cadeas de bloques compatibles con Ethereum e EVM (Arbitrum, Optimism, Base, Polygon, Avalanche, BNB Chain), tokens como USDC, USDT, DAI, PEPE ou WETH usan o estándar ERC-20. Por deseño, un contrato intelixente non pode sacar os tokens ERC-20 da túa carteira a menos que primeiro lle concedas unha Submisión. Os kits de phishing ("Drainers-as-a-Service", como Angel Drainer, Pink Drainer ou Inferno Drainer) enganan aos usuarios para que lles concedan unha Submisión ilimitada (115792089237316195423570985008687907853269984665640564039457584007913129639935 unidades) ou asinando un EIP-2612 fóra da cadea Permit / Uniswap Permit2 mensaxe directamente ao contrato do estafador.

Como revogar aprobacións de tokens maliciosos en 60 segundos¶

1. Abre unha ferramenta de revogación de subsidios lexítima e independente:
   • Revoke.cash (revoke.cash), Admite máis de 100 cadeas de bloques EVM e mostra as aprobacións estándar ERC-20/ERC-721 e Permit2 sinaturas con data de caducidade.
   • Comprobadores de aprobación oficial do Explorador de bloques:
     • Ethereum: etherscan.io/tokenapprovalchecker
     • Cadea BNB: bscscan.com/tokenapprovalchecker
     • Polígono: polygonscan.com/tokenapprovalchecker
     • Arbitrum: arbiscan.io/tokenapprovalchecker
     • Base: basescan.org/tokenapprovalchecker
   • Pestana de seguridade integrada de Rabby Wallet: se usas Rabby Wallet, fai clic na icona do escudo Aprobacións directamente dentro da interface da carteira para revogar por lotes contratos arriscados sen abrir unha páxina web.
2. Ordenar as aprobacións por "Novas" ou "Valor en risco":
   • Mira a columna Spender. Os protocolos lexítimos mostrarán etiquetas verificadas como Uniswap: Universal Router ou Aave: Pool V3.
   • Os drenadores maliciosos adoitan aparecer como un enderezo hexadecimal bruto non verificado (por exemplo, 0x4f8a...9c12) ou un contrato falso implantado recentemente.
3. Fai clic en "Revogar" e confirma a transacción na túa carteira:
   • Ao facer clic en Revogar, envíase unha transacción en cadea que sobrescribe a asignación do gasto en 0.
   • Unha vez que esa transacción se confirma na cadea de bloques (normalmente en 2 a 12 segundos), o contrato de drenaxe se separa matematicamente da túa carteira e non pode sacar outro centavo dese token.

Protocolo 2: derrotar un "Sweeper Bot" automatizado nunha frase semente comprometida¶

Se un hacker roubou a túa frase semente de recuperación de 12 ou 24 palabras (ou chave privada bruta), carga inmediatamente a túa clave privada nun script de servidor automatizado chamado Sweeper Bot.

Como un Sweeper Bot atrapa ás vítimas¶

Supoñamos que a túa carteira Ethereum comprometida aínda ten $15.000 en tokens apostados nun contrato Aave, Lido ou EigenLayer (ou un próximo lanzamento de tokens reclamable), OU aínda ten un token ERC-20 que o atacante aínda non moveu, pero o atacante arrasou o teu saldo . 0.0000 ETH.

1. Para liberar ou transferir os teus 15.000 $ de tokens para a seguridade, a túa carteira comprometida necesita 2,00 $ de ETH para pagar a taxa de gas da rede de bloques.
2. Envías 5,00 dólares de ETH desde a túa conta de Coinbase á túa carteira comprometida para que poidas facer clic en "Desactivar".
3. Dentro de 0,8 segundos desde o depósito do teu depósito de 5,00 dólares de ETH, antes de que os teus dedos humanos poidan facer clic no botón "Unstake", o Sweeper Bot automatizado do hacker detecta o ETH entrante no mempool público e dispara ao instante unha transacción de gas de alta prioridade que rouba o teu enderezo de ETH de 5,00 $ ao enderezo do hacker.
4. As vítimas adoitan tentar enviar ETH 10 veces seguidas, perdendo $ 50 ou $ 100 en gasolina ao Sweeper Bot cada vez mentres as súas fichas apostadas permanecen atrapadas dentro da carteira comprometida.

Como vencer a un Sweeper Bot usando Flashbots / Private MEV Atomic Bundles¶

Deixa de enviar depósitos regulares de ETH a unha carteira supervisada por un Sweeper Bot. Os robots Sweeper observan o memorpool de transaccións públicas e necesitan 1 bloque (ou unha transacción pública pendente) para ver e roubar o teu ETH depositado. Podes derrotar a calquera Sweeper Bot usando Flashbots Protect / MEV Atomic Bundling (en cadeas Ethereum e EVM) ou Jito Bundles (en Solana):

1. Como funciona un paquete de rescate atómico: en lugar de enviar ETH no bloque #1 e tentar facer clic en "Transferir/Unstake" no bloque #2, un paquete atómico agrupa dúas transaccións separadas nunha única matriz privada enviadas directamente aos creadores de bloques a través dun RPC privado (completamente invisible para o memperpool público):
   • Paquete de transacción n.º 1 (da túa carteira Clean Safe): envía gasolina exacta (0.0015 ETH) á carteira comprometida.
   • Transacción de paquete #2 (asinada previamente pola carteira comprometida): executa inmediatamente o unstake() ou transfer() das túas valiosas fichas á túa carteira Clean Safe, consumindo o 100 % diso 0.0015 ETH gas no exactamente mesmo bloque no mesmo microsegundo.
2. Debido a que ambas transaccións execútanse atómicamente dentro do mesmo bloque sen visibilidade pública de mempool, o robot Sweeper do hacker nunca ve o ETH chegar e sae con 0.0000 ETH sobra mentres as túas fichas aterran con seguridade na túa carteira limpa.
3. Recursos de rescate de Whitehat de confianza para vítimas de robots de barredora:
   • Seal 911 (Security Alliance Whitehat Emergency Hotline): creado por Paradigm e os principais investigadores de seguridade de blockchain. Se tes fondos importantes atrapados detrás dun bot de barredora ou dunha explotación de contrato intelixente activa, ponte en contacto co bot SEAL 911 verificado oficialmente en seal911.org (ou a través da súa ligazón oficial de Telegram en securityalliance.org) para asistencia gratuíta de agrupación de rescate de whitehat MEV.
   • Documentación de Flashbots Whitehat Rescue: scripts de código aberto (flashbots/searcher-sponsored-tx) ás docs.flashbots.net permíteche patrocinar gas dunha carteira limpa para rescatar os activos ERC-20/ERC-721 dunha clave comprometida sen escribir código personalizado.
   • EIP-7702 / Ferramentas delegadas de gas: utilidades de rescate modernas integradas en ferramentas como revoke.cash e Ambire/Rabby permiten pagar a revogación ou o gas de rescate dunha carteira secundaria.

Protocolo 3: rastrexo de fondos roubados, conxelación das ramplas de cambio e informes das autoridades policiais¶

Aínda que ninguén pode revertir unha transacción nunha cadea de bloques descentralizada, os cibercriminales finalmente queren converter criptografía roubada en diñeiro gastable ou moedas estables limpas. Cando os fondos roubados tocan un Centralized Exchange (CEX) (como Binance, Coinbase, Kraken, OKX, Bybit ou KuCoin) ou permanecen en moedas estables centralizadas (Tether / USDT e Circle / USDC), o emisor ou o equipo de cumprimento do intercambio PODE conxelar eses fondos se actúas rapidamente e presentas un informe oficial á policía.

1. Rastreo inmediato na cadea e alertas de conxelación de moedas estables¶

1. Copie o hash da transacción (TxID) e o enderezo de recepción do atacante: abre o explorador de bloques da túa cadea, copia o hash da transacción exacta do roubo e fai clic no enderezo da carteira do destinatario que recibiu os teus fondos.
2. Nunca borres o historial do teu navegador ou os rexistros da carteira: os investigadores forenses necesitan o URL exacto de phishing que visitaches e as marcas de tempo exactas.
3. Se grandes cantidades de USDT (Tether) ou USDC (Círculo) foron roubados: a diferenza de ETH ou BTC descentralizados, ambos Tether (USDT) e Círculo (USDC) teñen unha función de contrato intelixente integrada (addBlackList() / blacklist()) que pode conxelar permanentemente USDT ou USDC roubados directamente dentro da carteira de autocustodia do hacker ao recibir unha solicitude urxente de aplicación da lei ou unha orde xudicial.
4. Rastrexa onde o hacker move os fondos usando trazadores visuais gratuítos:
   • Pega o enderezo da carteira do hacker en MetaSleuth (metasleuth.io), MistTrack (misttrack.io), Migas de pan (breadcrumbs.app) ou Arkham Intelligence (platform.arkhamintelligence.com).
   • Configura unha Etherscan/Solscan Watch Alert gratuíta no enderezo da carteira do hacker para que recibas un correo electrónico no momento en que o hacker envíe as moedas roubadas a un enderezo de depósito de Exchange centralizado (por exemplo, un enderezo etiquetado Binance 14, OKX, FixedFloat, ou ChangeNOW).

2. Contactar coas mesas de cumprimento de intercambio centralizado e presentar informes policiais¶

No momento en que o seu rastrexo na cadea mostra os fondos roubados ingresando nun enderezo de depósito de intercambio centralizado ou un servizo de intercambio instantáneo:

1. Envíe un boleto de solicitude de conxelación urxente da aplicación da lei a ese intercambio específico: todos os intercambios importantes operan un portal de emerxencia para fraude/fondos roubados (como soporte de Binance Law Enforcement/Fondos roubados, soporte de Coinbase, Kraken Security ou soporte FixedFloat/ChangeNOW). Proporcionar:
   • O enderezo da carteira da vítima, os enderezos intermedios do atacante, o Enderezo de depósito exacto na bolsa e o Hash de transacción (TxID) que mostra os fondos que entran na súa carteira quente de intercambio.
   • A maioría dos intercambios realizarán unha retención de conformidade interna temporal de 24 a 72 horas** nas contas de depósito marcadas de forma sospeitosa para darche tempo para cargar un número de informe oficial da policía e facer que o axente investigador envíe un correo electrónico ao portal de solicitudes de aplicación da lei do intercambio (kodexglobal.com ou o portal LE directo do intercambio).
2. Arquiva inmediatamente informes oficiais nacionais de ciberdelincuencia (100 % gratuíto):
   • Estados Unidos: envía un informe inmediato ao Centro de Queixas por Delitos en Internet do FBI (IC3) en ic3.gov (seleccione a moeda virtual e inclúa cada hash de transacción, símbolo de símbolo, valor en USD e enderezo da carteira do destinatario), informe ao grupo de traballo local de fraude cibernético do Servizo Secreto e presente un informe da policía local para obter un Número de caso formal.
   • Reino Unido: envía un informe en liña con Action Fraud en actionfraud.police.uk ou chame ao 0300 123 2040 para que o National Fraud Intelligence Bureau e a Police Cyber Crime Unit poidan emitir un aviso de conservación do cambio.
   • Unión Europea, Canadá e Australia: arquivo a través de Chainabuse (chainabuse.com, operado por TRM Labs), que comparte automaticamente o seu informe de enderezos de carteira de estafadores nos principais intercambios, listas negras de seguranza de carteiras e socios policiais, xunto co Canadian Anti-Fraud Center (CAFC), Australian Cyber Security Center (cyber.gov.au) ou a súa oficina nacional de ciberdelincuencia de Europol.

Descontaminación posterior ao incidente: limpa os teus dispositivos e endurece as futuras carteiras¶

Antes de usar a túa nova carteira de criptomonedas para as transaccións cotiás, elimina a vulnerabilidade raíz que causou o compromiso:

1. Se a túa Seed Phrase foi roubada mentres usabas un PC ou Mac con Windows, supoña que tes un virus Infostealer: programas maliciosos ocultos dentro de cracks de xogos falsos, ligazóns falsas de Zoom/Calendly, patrocinios de Notion/PDF falsos ou software pirateado le en silencio os ficheiros de bóveda de LevelDB das extensións do navegador (MetaMask, Phantom e mira o portapapeis). Desconecta o PC da wifi, fai unha copia de seguranza só de documentos sinxelos e realiza unha reinstalación completa USB limpa de Windows ou macOS.
2. Utiliza unha carteira de hardware dedicada (almacenamento en frío) para aforrar e unha "cartera quente" separada para as dApps diarias:
   • Vault / Cold Wallet (90 % máis dos fondos): mantén o teu Bitcoin, Ethereum, Solana e stablecoins a longo prazo nunha carteira de hardware dedicada (como unha Trezor, Ledger, Coldcard ou Keystone) onde a clave privada se almacena nun chip Secure Element sen conexión que nunca toca a RAM do teu ordenador. Nunca conectes o teu enderezo de Cold Vault a sitios web aleatorios, mentas NFT ou airdrops.
   • Burner / Hot Wallet (< 10 % dos fondos): mantén unha carteira de navegador separada que conteña só a pequena cantidade de fondos que planeas intercambiar ou acuñar ese día. Se algunha vez fai clic nunha ligazón maliciosa da súa Hot Wallet, a súa Cold Vault permanecerá 100 % intacta.
3. Instale unha extensión de simulador de transaccións Web3 en tempo real: carteiras modernas como Rabby Wallet e Phantom, ou extensións de seguranza gratuítas para o navegador como Pocket Universe e Wallet Guard, simulan cada transacción antes de asinala e aparece unha advertencia vermella brillante: "AVISO: Asinar esta mensaxe eliminará todos os teus enderezos de confianza para os teus enderezos non fiables.
4. Nunca almacene dixitalmente a súa frase inicial de 12/24 palabras: nunca faga unha foto de teléfono intelixente da súa frase inicial (as copias de seguranza de fotos na nube son un obxectivo principal para os piratas informáticos), nunca a garde nun xestor de contrasinais, notas de Apple, Documentos de Google ou borradores de correo electrónico e nunca escriba a súa frase inicial en ningún sitio web ou teclado. Escribe só a túa frase de semente en papel físico ou estampala en placas de aceiro inoxidable ignífugas almacenadas nunha caixa forte.

Preguntas frecuentes¶

Fontes comprobadas¶

• Federal Bureau of Investigation (FBI, Estados Unidos): Internet Crime Complaint Center (IC3) Informes de fraude de criptomoedas e anuncios de servizo público sobre DeFi Smart Contract Drainers (ic3.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, Estados Unidos) & NSA: Criptocurrency Security, Phishing-Resistant Authentication e Infostealer Malware Advisories (cisa.gov).
• Consumer Financial Protection Bureau (CFPB) e Federal Trade Commission (FTC, Estados Unidos): Evitando as estafas criptográficas e os servizos de recuperación falsos (consumer.ftc.gov).
• National Cyber Security Center (NCSC) & Action Fraud (Reino Unido): Cryptoasset Security Guidance and Reporting Stolen Digital Assets (ncsc.gov.uk, actionfraud.police.uk).
• Ethereum Foundation & EIP Standards (Internacional): ERC-20 Token Standard (EIP-20), Permit Gasless Approvals (EIP-2612) and Account Abstraction / Bundling (ethereum.org, eips.ethereum.org).
• Security Alliance (SEAL 911) & Flashbots Whitehat Collective (Internacional): Protocolos de rescate de emerxencia Whitehat Sweeper-Bot e MEV Atomic Bundling (securityalliance.org, docs.flashbots.net).

Guías relacionadas¶

• Resposta á violación de datos e fugas de contrasinais
• Suplantación de identidade MFA e derivación do adversario no medio
• Cambio de SIM
• Estafas e fraudes