Estafas con NFT: Cómo proteger tus activos digitales
Las estafas con NFT (tokens no fungibles) se han convertido en uno de los esquemas de fraude con criptomonedas de más rápido crecimiento, con víctimas perdiendo miles de millones anualmente. Estas estafas explotan la relativa novedad y complejidad de la tecnología blockchain, dirigiéndose tanto a inversores experimentados en criptomonedas como a principiantes que buscan incursionar en el espacio de NFT. El crecimiento rápido del mercado —las ventas de NFT superaron los $25 mil millones en 2021— ha atraído a estafadores sofisticados que crean mercados contrafechos, colecciones falsas de NFT y esquemas de ingeniería social para robar billeteras digitales y criptomonedas. Lo que hace que las estafas con NFT sean particularmente peligrosas es su velocidad: la mayoría de las víctimas reportan pérdidas entre 1 y 7 días después del compromiso, y la naturaleza irreversible de las transacciones blockchain significa que los activos robados son prácticamente imposibles de recuperar. Las estafas con NFT más comunes se dividen en tres categorías principales: rugpulls (donde los desarrolladores abandonan proyectos después de recopilar fondos de inversores), suplantación de mercados (versiones falsas de OpenSea, Magic Eden y otras plataformas), y drenaje de billeteras a través de contratos inteligentes maliciosos y phishing. Según Chainalysis, aproximadamente el 14% de todas las pérdidas por estafas de criptomonedas en 2022 involucraron NFT, con la víctima promedio de estafa con NFT perdiendo entre $5,000 y $15,000. Los estafadores se han vuelto altamente sofisticados, creando réplicas casi perfectas de plataformas legítimas, cuentas verificadas en redes sociales y comunidades de Discord para construir credibilidad falsa. El anonimato de las transacciones blockchain y la falta de supervisión regulatoria hacen que la persecución sea prácticamente imposible, dejando a las víctimas con poco recurso para recuperar sus fondos.
Common Tactics
- • Crear sitios web de mercados NFT falsos (contrafaciendo OpenSea, Magic Eden, Blur) que parecen idénticos a plataformas legítimas, completos con diseños clonados y sistemas de pago que redirigen fondos a billeteras de estafadores.
- • Lanzar proyectos de 'rugpull' donde los desarrolladores prometen colecciones exclusivas de NFT, generan expectativa a través de Discord y Twitter, recopilan millones en compras, y luego desaparecen con todos los fondos mientras abandonan el proyecto.
- • Suplantar a creadores y proyectos verificados de NFT en redes sociales, compartiendo enlaces falsos de acuñación a colecciones contrafechas que drenan billeteras conectadas usando contratos inteligentes maliciosos.
- • Crear servidores fraudulentos de Discord de 'whitelisting' o 'allowlist' que requieren que los usuarios depositen criptomonedas para 'verificar' su elegibilidad, con los fondos depositados siendo robados inmediatamente.
- • Distribuir estafas de airdrop a través de tokens NFT falsos que aparecen en billeteras, tentando a los usuarios a interactuar con contratos maliciosos que solicitan aprobación de billetera y drenan todos los activos conectados.
- • Realizar ataques de 'floor sweep' donde los estafadores compran sus propios NFT a precios inflados para establecer falsamente valuaciones, luego vendiendo NFT sin valor a compradores engañados a precios premium.
How to Identify
- La URL del sitio web es ligeramente diferente a la plataforma legítima (p. ej., 'opensea-official.com' en lugar de 'opensea.io'), o utiliza una extensión de dominio diferente (.net, .xyz, .io en lugar de .io).
- Las cuentas de redes sociales del proyecto fueron creadas recientemente, carecen de historial de compromiso, o tienen insignias de verificación compradas a través de servicios de terceros en lugar de ser otorgadas por la plataforma.
- Las tarifas de gas para transacciones son inusualmente altas (500+ Gwei) o la transacción parece estar aprobando gasto ilimitado de tokens a direcciones de contratos inteligentes desconocidas.
- El proyecto de NFT promete rendimientos garantizados o utiliza lenguaje de alta presión como 'oferta limitada' o 'solo 100 espacios disponibles' para apresurarte a decidir en pocas horas.
- La comunidad de Discord o Telegram contiene numerosos errores ortográficos en mensajes oficiales, bots que solo dirigen a usuarios a enlaces externos, o canales donde las preguntas legítimas se eliminan inmediatamente.
- El NFT tiene un historial de transacciones que muestra precios manipulados a través de wash trading (la misma billetera comprando y vendiendo repetidamente), o precios de piso que aumentan sin realismo dentro de 24 horas del lanzamiento.
How to Protect Yourself
- Verifica el sitio web oficial y las cuentas de redes sociales consultando el repositorio de GitHub del proyecto, el historial de transacciones blockchain anterior, y verificando referencias cruzadas con fuentes de noticias de criptomonedas establecidas como CoinDesk o The Block.
- Utiliza billeteras de hardware (Ledger, Trezor) para almacenar NFT y criptomonedas en lugar de billeteras basadas en navegador o de intercambio, y solo conecta billeteras de hardware a mercados usando aplicaciones oficiales de billetera de hardware.
- Revisa cuidadosamente los permisos de contratos inteligentes antes de aprobar cualquier transacción: nunca apruebes gasto ilimitado, solo aprueba la cantidad exacta necesaria para la transacción, y revoca aprobaciones no utilizadas en plataformas como Etherscan.
- Investiga el equipo del proyecto exhaustivamente verificando sus identidades reales, revisando su historial profesional en LinkedIn, examinando proyectos anteriores completados, y confirmando su participación a través de múltiples fuentes independientes.
- Marca como favorito los mercados legítimos de NFT (opensea.io, blur.io, magic-eden.com) y accede siempre a través de marcadores en lugar de hacer clic en enlaces de redes sociales, correos electrónicos o mensajes de Discord.
- Habilita autenticación multifactor (2FA) en todas las cuentas de intercambio de criptomonedas y billetera, utiliza contraseñas únicas y fuertes gestionadas por un gestor de contraseñas, y nunca compartas tu frase de recuperación o claves privadas bajo ninguna circunstancia.
Real-World Examples
Un inversor descubrió un proyecto NFT basado en Ethereum llamado 'MetaVerse Elite' a través de una invitación de Discord. El proyecto tenía 5,000 seguidores, un sitio web de aspecto profesional, y prometía acceso temprano a bienes raíces digitales exclusivos. Después de depositar 2 ETH ($3,400) para acuñar NFT, el servidor de Discord se desconectó, el sitio web se volvió inaccesible, y el contrato fue vaciado inmediatamente de todos los fondos. Toda la operación duró 18 horas.
Una víctima visitó lo que parecía ser el sitio web oficial de OpenSea (en realidad opensea-official.net) después de hacer clic en un enlace en lo que parecía un correo electrónico oficial. Conectó su billetera MetaMask para listar su colección de NFT existente para la venta. El sitio malicioso luego le pidió que 'verificara' su billetera, lo que en realidad inició una transacción que le dio aprobación al estafador para transferir todos los NFT y saldos de tokens desde su billetera conectada.
Un coleccionista de NFT recibió un airdrop de un nuevo token llamado 'Genesis Pass' que apareció en su billetera. Emocionado por criptomonedas gratis, hizo clic en el botón 'reclamar' en el sitio web del proyecto, que solicitó aprobación de MetaMask. Otorgar esta aprobación le dio al contrato inteligente del estafador permiso para drenar la billetera de ETH, USDC y otros tokens conectados por un valor aproximado de $8,500, todo procesado en minutos.