Los usuarios de NFT de Pudgy Penguins, objetivo de una campaña publicitaria maliciosa de Google

El incidente subraya la creciente necesidad de una mayor vigilancia, prácticas de seguridad robustas y una mejor supervisión regulatoria entre los poseedores de NFT y los participantes de Web3 para mitigar estas amenazas de manera efectiva.

Cómo funciona el ataque de phishing en NFT

Los atacantes utilizan Google Ads para distribuir scripts de phishing alojados en el dominio de seguimiento de Adloox.

Estos scripts escanean los navegadores de los usuarios en busca de carteras Web3. Cuando se detecta una cartera, el usuario es redirigido a un sitio fraudulento—pudqypenguin[.]com—diseñado para robar las credenciales de la cartera.

Lo que distingue a esta campaña es su capacidad para explotar Prebid.js, una biblioteca de API de pujas por cabecera ampliamente utilizada.

Los sitios web que integran el módulo de análisis de Adloox pueden transmitir sin saberlo scripts infectados con malware, haciendo a los usuarios más vulnerables a tales ataques.

Aunque los usuarios de Pudgy Penguins NFT son los objetivos inmediatos, los investigadores advierten que el método podría adaptarse fácilmente a otros proyectos de Web3, amplificando su impacto potencial.

La naturaleza sofisticada del ataque y su dependencia de marcos publicitarios establecidos destaca una preocupante tendencia en las tácticas de phishing, especialmente para la industria de las criptomonedas.

Con la creciente dependencia de las carteras Web3 para transacciones y almacenamiento de activos, las repercusiones de tales brechas podrían extenderse más allá de los usuarios individuales, afectando al ecosistema en general, reduciendo la confianza en las plataformas descentralizadas e impactando la confianza de los nuevos adoptantes de Web3.

Medidas de mitigación

Tras la exposición de esta campaña, se han intensificado los llamados a tomar medidas proactivas por parte de los usuarios. Las medidas recomendadas para minimizar los riesgos incluyen:

ScamSniffer, una herramienta de detección de phishing, también ha demostrado ser efectiva para identificar y mitigar amenazas similares. La rápida respuesta de investigadores como ZachXBT ha sido clave para abordar los riesgos inmediatos.

Después de que la campaña se hiciera pública, Adloox eliminó los archivos JavaScript comprometidos, deteniendo los daños adicionales y ofreciendo algo de alivio a los usuarios afectados.

Esta campaña de phishing es una llamada de atención para la comunidad de Web3, destacando la importancia de la educación del usuario, las prácticas de navegación segura y la vigilancia en el rápidamente cambiante panorama de las criptomonedas.

A medida que los atacantes continúan perfeccionando sus métodos, tanto los usuarios como los proveedores de plataformas deben adoptar medidas de seguridad integrales para salvaguardar la integridad de los activos digitales y las interacciones.

Los esfuerzos colaborativos entre investigadores de seguridad, redes publicitarias y desarrolladores de Web3 serán esenciales para prevenir futuros ataques de esta magnitud y complejidad.