trastwallet.cam: una web falsa de Trust Wallet quiere tu firma, no tu frase semilla
Una nueva web de phishing se hace pasar por Trust Wallet: trastwallet[.]cam. El investigador de seguridad Anurag, conocido en X como Malwarehunter, la descubrió el 4 o el 5 de noviembre. El cofundador de Binance, Changpeng Zhao, compartió la advertencia con una frase breve: «.cam is not .com». La dirección real es trustwallet.com. La web falsa no pide tu frase de recuperación. Quiere algo que parece inofensivo: una conexión y una firma.
Cómo funciona la estafa
El dominio se diferencia del original en dos puntos. La «u» de «trust» se convierte en una «a», y la terminación .com pasa a ser .cam. En la pantalla pequeña de un móvil es fácil no verlo. Esta técnica se llama typosquatting.
La página se titula «Review your wallet transfers». Afirma ofrecer un servicio automático que revisa tus transferencias, con límites por activo de 1 a 5.000 dólares. Ese servicio no existe en Trust Wallet. A los visitantes se les pide que conecten su monedero. El código es compatible con Trust Wallet, Phantom y OKX Wallet.
Tras la conexión, la web lee tus saldos y ordena tus activos por valor. Después pide una firma, presentada como revisión, confirmación o activación. En realidad, esa firma autorizaría transferencias a direcciones controladas por los operadores.
¿Alguien ha perdido dinero?
Por ahora no hay pérdidas confirmadas vinculadas a esta web. Cuando el investigador la analizó, la función de firma estaba desactivada, así que las transferencias preparadas no podían ejecutarse. Pero el código está ahí y podría activarse en cualquier momento. Según Crypto Briefing, la web forma parte de una campaña más amplia contra usuarios de Trust Wallet, con varios dominios clonados y páginas de soporte falsas. Ya informamos sobre los falsos correos de verificación de Trust Wallet tras el hackeo de Binance.
En X circula además la afirmación de que se robaron 1,1 millones de dólares a usuarios de Trust Wallet mediante una vulnerabilidad del iPhone. No está confirmada y, según la información actual, no tiene relación con la web .cam.
Por qué basta con una firma
Muchos usuarios saben que nunca deben compartir su frase semilla. Las webs de phishing se han adaptado. Un «drainer» no necesita tu frase de recuperación: una sola firma puede bastar para mover fondos o dar a un contrato acceso ilimitado a tus tokens. Una web que solo «revisa» transferencias nunca necesita tu firma.
Cómo protegerte
- Lee la dirección de derecha a izquierda: primero la terminación (.com), luego el nombre. El candado solo indica una conexión cifrada, no una web auténtica.
- Usa marcadores o la app: abre las webs de monederos solo desde un marcador que hayas creado tú o desde la app instalada, nunca desde enlaces en mensajes, anuncios o publicaciones.
- Lee cada solicitud de firma: cancela si ves una transferencia inesperada, una autorización ilimitada o un contrato desconocido.
- Separa tus fondos: usa un monedero con poco saldo para webs nuevas y guarda las cantidades grandes en un monedero físico.
- No compartas nunca tu frase semilla: ningún proveedor de monederos auténtico te la pedirá.
Si ya has firmado
Si solo concediste una autorización, revócala con una herramienta de revocación y escribe tú mismo su dirección. Si introdujiste tu frase semilla, considera el monedero comprometido y traslada los fondos restantes a un monedero nuevo con una frase nueva. Cuidado con los «expertos en recuperación» que te contacten después: a menudo son la siguiente estafa. Nuestra guía para reconocer y evitar el phishing explica las señales de alerta con más detalle.
Fuentes
