Com saber si t'han piratejat la cartera de criptomonedes: 10 senyals d'alerta

Una transferència confirmada que no has autoritzat és el senyal més clar que alguna cosa no va bé. Però una cartera pot deixar de ser segura abans que desaparegui cap diner. Una frase de recuperació robada, un permís de despesa ocult o un canvi en qui controla la cartera poden donar accés a un atacant mentre el saldo encara sembla normal.

Alguns dels senyals següents indiquen un robatori real. D'altres mostren que la cartera o el dispositiu poden estar exposats. Aquesta diferència és important perquè la solució depèn de com hagi obtingut accés l'atacant.

Si els fons estan sortint ara mateix, deixa d'enviar diners a la cartera i ves directament als passos de resposta que hi ha al final.

Què vol dir realment que una cartera de criptomonedes ha estat piratejada?

Les teves criptomonedes estan registrades en una cadena de blocs. La cartera t'ajuda a controlar-les mitjançant claus privades o altres regles d'autorització. Una frase de recuperació, també anomenada frase llavor, pot reconstruir les claus de molts comptes de cartera.

La gent fa servir la paraula «piratejada» per referir-se a problemes diferents:

• Claus robades: algú té la teva clau privada o frase de recuperació i pot autoritzar transaccions des d'un altre dispositiu.
• Ús abusiu dels permisos: has aprovat un contracte o signat una sol·licitud que permet a algú moure determinats actius. És possible que les teves claus continuïn sent privades.
• Dispositiu o aplicació compromesos: un programari maliciós, una cartera falsa o una extensió maliciosa roba informació o modifica allò que estàs a punt d'enviar.
• Compte d'una plataforma d'intercanvi compromès: algú accedeix al compte on una empresa custodia criptomonedes per a tu.

Una cartera física ajuda a protegir les claus privades, però no pot convertir un permís perjudicial en segur. Si autoritzes una acció equivocada, la cartera física pot signar-la correctament.

1. Surten criptomonedes reals de la cartera sense la teva autorització

Trobes una transferència completada, una venda d'NFT o una retirada que no pots explicar. Pot passar mentre tens el telèfon apagat o ets lluny de l'ordinador.

Primer, descarta alguna operació que haguessis configurat abans, com ara un pagament automàtic, una retirada d'una plataforma d'intercanvi o una acció dins d'una aplicació de negociació. Després, comprova la transacció real a la cadena de blocs.

Confirma que s'ha mogut un actiu autèntic i que el saldo ha disminuït. Una entrada estranya al registre d'activitat de la cartera no és suficient per si sola. Els estafadors poden crear registres enganyosos de tokens que semblen mostrar transferències des de la teva adreça.

Quan confirmis un moviment no autoritzat d'actius reals, actua immediatament. No cal esperar que et buidin tota la cartera.

2. Els ingressos nous desapareixen gairebé de seguida

Envies ETH o una altra moneda nativa de la xarxa a la cartera per cobrir les comissions de transacció. Al cap de pocs segons, se'n va a una adreça desconeguda. Torna a passar el mateix amb l'ingrés següent.

És un patró habitual d'un bot escombrador (sweeper bot), un programa que vigila una cartera exposada i s'emporta automàticament els fons disponibles. Si has descartat automatitzacions que tu mateix hagis configurat, aquestes retirades repetides són un senyal important d'accés no autoritzat.

El bot pot funcionar a l'ordinador de l'atacant. Tancar l'aplicació de la cartera o reiniciar el telèfon no l'aturarà. Alguns bots deixen intactes saldos petits fins que arriba un ingrés més gran; per això, que uns diners no es moguin no demostra que la cartera sigui segura.

No continuïs afegint diners per al gas ni facis un ingrés de prova. Potser només estaries finançant l'atacant.

3. Trobes permisos de tokens o NFT que no reconeixes

Moltes aplicacions de criptomonedes demanen permís per gastar un token. Aquestes autoritzacions poden continuar actives molt després que deixis d'utilitzar l'aplicació.

Entre els senyals d'alerta hi ha un operador autoritzat recentment que no reconeixes, un accés concedit després de visitar un lloc sospitós o un límit de despesa molt superior al que requeria l'operació. Un permís per a NFT pot permetre a un operador transferir tots els NFT que tinguis d'una col·lecció determinada.

Les autoritzacions il·limitades són habituals en aplicacions legítimes, de manera que no demostren per si soles cap atac. El que importa és qui té accés, què pot moure i si volies concedir-li aquest permís.

Comprova la xarxa, el contracte real del token, l'operador autoritzat i l'import. Desconnectar el lloc web de la cartera no cancel·la una autorització que ja s'hagi registrat a la cadena de blocs.

4. Una suposada sol·licitud d'inici de sessió concedeix drets de despesa

Visites un lloc web per iniciar sessió, reclamar una recompensa o verificar la cartera. Et demana una signatura sense comissió de transacció. La sol·licitud inclou una quantitat de tokens, un operador autoritzat o una ordre de venda d'NFT que no volies aprovar.

Algunes signatures poden autoritzar despeses sense que hagis de fer una transacció d'aprovació separada. Les funcions Permit i Permit2, juntament amb les signatures d'ordres dels mercats, en són exemples. Les aplicacions legítimes les fan servir, però els estafadors poden disfressar-les de passos innocus per iniciar sessió.

Que no hi hagi comissió de gas no diu res sobre la seguretat de la signatura.

Hi ha un altre detall: un permís signat que encara no s'ha utilitzat pot quedar fora de la cadena de blocs fins que algú el presenti. La teva llista habitual de transaccions, i de vegades fins i tot el comprovador de permisos, poden semblar nets mentre aquest permís continua sent utilitzable.

Si has signat una sol·licitud sospitosa, deixa d'interactuar amb el lloc i investiga què autoritzava la signatura. La cancel·lació depèn del tipus de permís. Revocar una autorització normal no invalida totes les signatures no utilitzades.

5. La cartera té un propietari nou o un permís de control desconegut

Algunes carteres tenen diversos propietaris, contactes de recuperació, claus de signatura temporals o mòduls de programari que poden executar accions. Sovint s'anomenen carteres intel·ligents o comptes intel·ligents.

Un propietari que no has afegit, una reducció del nombre de signatures necessàries, un mètode de recuperació desconegut o un mòdul nou requereixen atenció immediata. Segons els seus privilegis, aquest canvi pot permetre que algú mogui fons sense el teu procés d'aprovació habitual.

A Ethereum i a les xarxes compatibles, una funció anomenada EIP-7702 també permet que una cartera ordinària autoritzi codi a actuar a través de la seva adreça. Una autorització maliciosa pot donar accés continuat sense exposar la frase de recuperació.

Hi ha un detall fàcil de passar per alt: amb aquesta funció, una delegació acceptada pot continuar vigent encara que l'execució de la transacció falli. Una etiqueta de «fallida» no sempre vol dir que la configuració de control de la cartera s'hagi mantingut intacta.

Comprova aquests permisos amb les eines oficials de la cartera. Revocar només les autoritzacions de tokens no eliminarà un propietari desconegut ni una delegació.

6. La teva frase de recuperació o clau privada ha quedat exposada

Has introduït la frase en un lloc web, l'has enviat a algú que deia que era del servei d'assistència o l'has importada a una aplicació de cartera que ha resultat ser falsa. També pots descobrir que una còpia de seguretat llegible era accessible des d'un compte al núvol vulnerat o d'un fitxer compartit.

Considera compromesos els comptes controlats per aquest secret, encara que no s'hagi mogut res. Algú pot reconstruir la cartera en un altre lloc sense activar cap avís d'inici de sessió a la teva aplicació.

Canviar la contrasenya de l'aplicació de cartera no canviarà les claus privades exposades. Crear un altre compte amb la mateixa frase de recuperació tampoc no resoldrà el problema.

L'abast és important. Una frase de recuperació filtrada pot exposar molts comptes. Una clau privada importada per separat i filtrada pot afectar només el compte que controla.

7. Sembla que han substituït l'aplicació o l'extensió de la cartera

Descobreixes una extensió que no has instal·lat mai, una descàrrega falsa de cartera o una alerta de seguretat que identifica programari que roba dades de carteres. També pot ser que la cartera habitual et demani de sobte que la restauris després d'un canvi inexplicable.

Una sol·licitud de restauració pot tenir una causa normal, com una reinstal·lació o l'esborrament de dades de l'aplicació. És un motiu per comprovar el programari abans d'introduir-hi secrets, no una prova de robatori per si mateixa.

Verifica l'aplicació des del lloc web oficial del proveïdor de la cartera i comprova la identitat de l'extensió. És fàcil copiar un nom i un logotip coneguts.

Si ja has introduït la frase de recuperació en un programari sospitós, considera-la exposada. Eliminar l'aplicació no esborra una còpia que l'atacant ja té.

8. L'adreça del destinatari canvia quan l'enganxes

Copies l'adreça d'un destinatari, l'enganxes a la cartera i hi apareix una adreça diferent. El programari maliciós del porta-retalls pot substituir adreces de criptomonedes per adreces de l'atacant.

Això indica un problema amb el dispositiu o el programari. No vol dir necessàriament que algú tingui la teva clau privada, però fa que aquell dispositiu no sigui segur per fer transferències.

Els atacants poden utilitzar adreces de substitució que s'assemblen a l'original. Comprovar només els primers i els últims caràcters pot no detectar el canvi. Compara tota l'adreça de destinació amb una còpia fiable. Si utilitzes una cartera física, comprova l'adreça a la pantalla del dispositiu abans d'aprovar-la.

Cancel·la la transacció si les adreces són diferents. Copiar i enganxar repetidament fins que una sembli correcta no soluciona el problema.

9. Hi ha pèrdues inexplicables en diversos comptes o xarxes

La desaparició d'un sol token pot ser conseqüència d'un permís de despesa concret. Les transferències no autoritzades des de diversos comptes derivats de la mateixa frase de recuperació fan sospitar d'una exposició més àmplia de les claus.

Per exemple, les pèrdues en dues xarxes, juntament amb l'activitat d'un altre compte vinculat a la mateixa frase, requereixen una investigació més extensa. Comprova tots els comptes i les xarxes afectats, en lloc de suposar que el problema es limita al primer token que has trobat a faltar.

Aquest patró ajuda a acotar-ne la causa, però no és concloent. Diversos permisos maliciosos o una autorització de cartera vàlida en múltiples xarxes també poden provocar pèrdues generalitzades.

Que una adreça de cartera sigui la mateixa en diferents xarxes del tipus Ethereum és normal i no és cap senyal d'alerta per si sol. L'alerta és l'activitat inexplicable que afecta aquests comptes.

10. El compte de la plataforma d'intercanvi mostra accessos o retirades desconeguts

Si mantens criptomonedes en una plataforma d'intercanvi, comprova si hi ha sessions desconegudes, dades de recuperació modificades, noves adreces de retirada o retirades que no has sol·licitat. Els canvis no demanats en l'autenticació de dos factors són especialment greus.

Obre tu mateix l'aplicació o el lloc web oficial per verificar l'alerta. Un correu electrònic alarmant pot ser un intent de pesca de credencials. Una ubicació desconeguda també pot ser deguda a una VPN o a una xarxa mòbil, així que revisa conjuntament el dispositiu, l'hora i les accions fetes al compte.

La presa de control d'un compte d'una plataforma d'intercanvi requereix mesures de seguretat del compte. Si el proveïdor ho permet, utilitza el bloqueig del compte o la restricció de retirades, contacta amb el suport oficial i protegeix el correu electrònic i els mètodes d'autenticació.

Aquestes comprovacions d'inici de sessió no s'apliquen de la mateixa manera a una cartera bàsica controlada per una frase de recuperació. Algú que en tingui les claus pot no necessitar mai entrar a la teva aplicació.

Activitat estranya que no demostra que hi hagi hagut un atac

Algunes situacions habituals poden semblar alarmants:

• Un saldo en dòlars més baix: el preu pot haver baixat encara que mantinguis el mateix nombre de monedes.
• Tokens que no apareixen a l'aplicació: potser has seleccionat un compte o una xarxa equivocats, has amagat el token o hi ha un problema de visualització.
• Una sortida de Bitcoin desconeguda: un pagament pot tornar els fons sobrants a una nova adreça de canvi controlada per la teva pròpia cartera.
• Un token o NFT no sol·licitat: el simple fet de rebre correu brossa no prova que t'hagin robat les claus. Amaga'l en lloc de seguir-ne els enllaços o signar una transacció per eliminar-lo.
• Transferències minúscules o de valor zero relacionades amb una adreça que et resulta familiar: poden ser un cas d'enverinament d'adreces, en què els estafadors col·loquen un destinatari semblant al teu historial perquè més endavant en copiïs l'adreça.

Alguns tokens falsos copien el nom i el símbol d'un token autèntic. Fins i tot poden crear registres enganyosos de transferències sortints. Comprova el contracte real del token i el saldo abans de considerar un registre com una prova de robatori.

Evita copiar l'adreça d'un destinatari de l'activitat recent. Aconsegueix-la d'un destinatari verificat o d'una llibreta d'adreces fiable.

Com comprovar què ha passat realment

Utilitza un explorador de la cadena de blocs de confiança per a la xarxa correcta. Pots consultar una adreça pública sense connectar la cartera, pagar cap comissió ni revelar una frase de recuperació.

Comprova aquests detalls:

1. El compte i la xarxa: assegura't que examines l'adreça que contenia els actius desapareguts.
2. L'estat de la transacció: distingeix l'activitat pendent dels moviments completats. En el cas de delegacions de cartera, comprova també si han canviat els permisos malgrat que l'execució hagi fallat.
3. L'actiu real: confirma el contracte del token o la col·lecció d'NFT, en lloc de fiar-te només del nom o del logotip.
4. El canvi de saldo i la destinació: identifica què ha sortit i on ha anat. Revisa les transferències de tokens i NFT, a més de la llista principal de transaccions.
5. Els permisos anteriors: busca autoritzacions, signatures o canvis en el control de la cartera relacionats amb la pèrdua.

Quan algú utilitza una autorització de tokens per endur-se els teus actius, el remitent de la transacció pot ser un compte aliè. Això no fa que la transferència sigui inofensiva. Igualment, un registre de token que mostri la teva adreça com a origen no demostra que hagis signat personalment una transacció.

Si et costa interpretar els registres de la cadena de blocs, comparteix l'adreça pública i el hash de la transacció amb el servei d'assistència verificat de la cartera. Aquestes dades poden ajudar en la investigació sense exposar les claus.

Què fer si es confirmen els senyals d'alerta

Deixa d'afegir fons i de signar sol·licituds

Atura els ingressos a la cartera afectada. Rebutja les noves sol·licituds de signatura, incloses les ofertes de «reparar-la», «validar-la» o «desbloquejar-la». Deixa d'utilitzar qualsevol dispositiu que pugui estar infectat i continua des d'un altre dispositiu de confiança.

Si s'ha filtrat una frase de recuperació o una clau privada

Si es tracta d'una cartera ordinària controlada pel secret exposat, crea una cartera nova amb una frase de recuperació completament nova en un dispositiu de confiança. Mou els actius restants si ho pots fer amb seguretat i deixa d'utilitzar els comptes afectats. Actualitza les destinacions de pagament que hi apuntin.

Si hi ha un bot escombrador actiu, no recarreguis la cartera antiga per pagar gas. Rescatar els actius que hi quedin pot requerir tècniques especialitzades per gestionar transaccions, i l'èxit no està garantit.

Si el problema és una autorització o un permís signat

Revoca els permisos corresponents mitjançant una eina verificada i confirma que la revocació s'ha completat. Una autorització per a un token en una xarxa no s'aplica automàticament a totes les altres.

En el cas d'una signatura sospitosa encara no utilitzada, segueix el procés específic de cancel·lació de la cartera o del protocol. Pot ser necessari moure els actius mentre determines si el permís continua sent utilitzable.

La revocació no pot recuperar els actius que ja s'han endut. Tampoc no pot protegir una cartera amb les claus filtrades.

Si ha canviat la configuració de control de la cartera

Utilitza el procés oficial de recuperació o gestió de permisos de la cartera per eliminar propietaris, mòduls, claus de signatura o delegacions no autoritzats. Si s'ha filtrat la clau d'un propietari, substitueix aquest signant si la cartera ho permet. Demana orientació específica al proveïdor abans de tornar a considerar segur el compte.

Si algú ha accedit al compte d'una plataforma d'intercanvi

Bloqueja el compte o restringeix les retirades seguint el procediment oficial del proveïdor. Des d'un dispositiu de confiança, protegeix el correu electrònic, canvia les contrasenyes afectades, elimina les sessions desconegudes i revisa les dades de recuperació i l'autenticació de dos factors.

Conserva les proves i denuncia la pèrdua

Desa els hashes de les transaccions, les adreces públiques, les marques de temps, els URL sospitosos i els missatges pertinents mentre protegeixes els fons que et quedin. Comunica l'incident al proveïdor de la cartera o a la plataforma d'intercanvi i a les autoritats competents.

En general, el servei d'assistència d'una cartera no pot revertir transferències confirmades a la cadena de blocs. La recuperació pot dependre que una plataforma d'intercanvi congeli fons, d'una investigació o que es retornin els diners. Desconfia de qui prometi una recuperació garantida, especialment si et demana un pagament per avançat o la frase de recuperació.