Los usuarios de MetaMask están siendo el blanco de una nueva ola de estafas de phishing que imitan actualizaciones oficiales de seguridad y aprovechan la mayor conciencia sobre la protección de wallets. Estas estafas son especialmente peligrosas porque están hábilmente elaboradas, son técnicamente plausibles y persuasivas.
Un correo electrónico que afirma ser del Soporte de MetaMask notificando a los usuarios sobre el inminente requisito de autenticación de dos factores (2FA) suele ser el primer paso del ataque. El mensaje utiliza la marca correspondiente, incluye una fecha límite para motivar la acción rápida y parece profesional. El propósito de esta sensación de urgencia es reducir la posibilidad de que los usuarios se detengan a verificar lo que están viendo.
Dónde se complica
El dominio oficial de MetaMask no puede ser accedido mediante el enlace del correo electrónico. En cambio, refiere a una copia casi idéntica como matamask o mertamask. Especialmente en dispositivos móviles, estas mínimas correcciones ortográficas pueden pasar desapercibidas. Después de hacer clic, el usuario es dirigido a un sitio web bien diseñado que imita el diseño de MetaMask e incorpora la seguridad de Cloudflare para aumentar la legitimidad.
La estafa luego avanza por fases. Inicialmente, se requiere una verificación humana de los usuarios. Luego ven mensajes que verifican que la 2FA ha sido activada, con temporizadores de cuenta regresiva, barras de progreso e indicadores de estado tranquilizadores como Capa de Seguridad Completa. Esto no tiene ninguna conexión con la infraestructura de MetaMask. Es simplemente contenido web guionado para generar confianza. El paso más crucial es el último.
Bajo el pretexto de una verificación final de seguridad o validación de checksum, el sitio web solicita a los usuarios que ingresen la frase semilla de recuperación de su wallet. Este es el componente central de la estafa. Ningún proveedor de wallets confiable solicitará nunca una frase semilla a través de un sitio web. Los atacantes pueden vaciar completamente la wallet después de ingresar la frase, que se les transmite instantáneamente.
Técnica de estafa sofisticada
Esta estafa tiene éxito porque es realista más que técnicamente compleja. Imita procedimientos de seguridad reales y utiliza terminología que los usuarios están acostumbrados a ver, como referencias a encriptación de seguridad y autenticación.
Los usuarios deben recordar algunas reglas clave para mantenerse seguros: MetaMask nunca pide frases semilla, realiza todas las tareas relacionadas con la wallet dentro de la extensión o aplicación oficial y no aplica actualizaciones de seguridad por correo electrónico.
