Vitalik Buterin revela que hackeo a su cuenta X fue producto de SIM swapping

***

• Cofundador de Ethereum explica cómo su cuenta de X fue pirateada 
• Fue resultado de SIM swapping o la clonación de la tarjeta de SIM
• Buterin logró recuperar su cuenta de teléfono y compartió algunas lecciones aprendidas
• Los hackers secuestraron la cuenta X de Buterin y robaron USD $700.000 en cripto y NFT

El creador de Ethereum, Vitalik Buterin, ha confirmado que el hackeo de su cuenta de X (Twitter) fue el resultado de un ataque de ‘SIM swapping’ o intercambio de SIM.

Hablando en la red social descentralizada Farcaster, Buterin dijo que había logrado recuperar su cuenta de telefonía móvil del proveedor T-Mobile después de convertirse en la víctima de un truco de piratería. Compartió su experiencia desde Warpcast, un cliente de Farcaster, red social donde la recuperación de la cuenta se puede gestionar a través de una dirección de Ethereum.

Finalmente recuperé mi cuenta de T-mobile (sí, fue un intercambio de SIM, lo que significa que alguien diseñó socialmente a T-mobile para hacerse cargo de mi número de teléfono).

El SIM swapping o la clonación de la tarjeta de SIM es una modalidad de ataque en la que los estafadores se hacen pasar por un usuario para engañar al proveedor de telefonía y efectuar un cambio de número a un chip en su poder. Así, los delincuentes logran suplantar al dueño de un número de teléfono y con ello acceder a las cuentas de aquellos servicios que utilizan identificación a través del celular.

Buterin es víctima de clonación de SIM

Buterin reconoció que, a pesar de las numerosas advertencias sobre los riesgos de seguridad asociados a los números telefónicos, no se percató de que un simple número de celular era suficiente para que los actores maliciosos restablecieran su cuenta de X, incluso si no tiene habilitada la autenticación de dos factores (2FA).

“Un número de teléfono es suficiente para restablecer la contraseña de una cuenta de Twitter incluso si no se utiliza como 2FA“, señaló. “Había visto antes el consejo de ‘los números de teléfono no son seguros, no te autentiques con ellos’, pero no me di cuenta“.

Vale señalar que la autenticación de dos pasos o de dos factores es un proceso de seguridad que añade una capa adicional de protección al proceso de verificación de una cuenta. Por ejemplo, añadiendo un código generado vía mensaje de texto.

El cofundador de Ethereum admitió que no recordaba haber vinculado su número de teléfono a su cuenta de Twitter, pero especuló que pudo haberlo hecho como parte del proceso de registro en el servicio de suscripción paga de la red social. “No recuerdo cuándo *agregué* el número; Supongo que era necesario registrarse en Twitter Blue”, señaló Buterin.

Durante el fin de semana, la cuenta de X de Buterin fue secuestrada temporalmente por atacantes cibernéticos, quienes aprovecharon el espacio para promocionar una supuesta entrega gratuita de tokens no fungibles (NFT). Sin embargo, el enlace apuntaba a un sitio web de phishing que drenó las criptomonedas y NFT depositados en las billeteras que interactuaron con él.

Si bien la publicación engañosa estuvo en línea por un tiempo aproximado de 20 minutos, el lapso fue suficiente para que los hackers robaran casi USD $700.000 en varios activos digitales. Buterin tiene cerca de 5 millones de seguidores en X.

Lecciones aprendidas y algunos consejos

Al respecto, algunas figuras del espacio de criptomonedas aconsejaron a los usuarios a desvincular sus números de teléfono de las cuentas X, así como mantenerse atentos a las estafas potenciales. Entre ellos, Hasu, el líder de la estrategia de Flashbots, advirtió que cada cuenta de Twitter Blue es explotable con clonación de SIM. 

“Si te registraste en Twitter Blue, automáticamente agregaste tu número de teléfono a tu perfil de Twitter“, dijo Hasu. “Este número de teléfono se puede usar para restablecer su cuenta, ya sea que la use para 2FA o no. Vaya a configuración/perfil para eliminar su número de teléfono ahora mismo”, aconsejó.

Por su parte, el desarrollador de Ethereum, Tim Beiko, sugirió al propietario de la red social, Elon Musk, que se añada una función para activar de forma predeterminada la autenticación de 2FA para aquellos usuarios que alcanzan un número elevado de seguidores. “Parece una obviedad tener esto activado de forma predeterminada, o activarlo de forma predeterminada cuando una cuenta alcanza, digamos, >10.000 seguidores“, comentó. 

El incidente de Buterin es el último de una serie de ataques de phishing relacionados con criptomonedas vistos en X, en donde los actores maliciosos también han apuntado a las cuentas de otras figuras prominentes del espacio. Tampoco es la primera vez que T-Mobile se ve involucrada en este tipo de vector de ataque, ya que en el pasado algunos usuarios de criptomonedas de esa y otras telefonías han denunciado haber sido víctimas de robo de sus fondos como resultado de una clonación de SIM.

Artículo de Hannah Estefanía Pérez / DiarioBitcoin

Imagen de Unsplash 

ADVERTENCIA: Este es un artículo de carácter informativo. DiarioBitcoin es un medio de comunicación, no promociona, respalda ni recomienda ninguna inversión en particular. Vale señalar que las inversiones en criptoactivos no están reguladas en algunos países. Pueden no ser apropiadas para inversores minoristas, pues se podría perder el monto total invertido. Consulte las leyes de su país antes de invertir.