Las estafas de ingeniería social están en aumento, y estos ataques han apuntado particularmente a los usuarios de Coinbase durante el primer trimestre de 2025. Según una serie de investigaciones de ZachXBT, los usuarios han perdido más de 100 millones de dólares en fondos desde diciembre de 2024, mientras que las pérdidas anuales alcanzaron los 300 millones de dólares.
Después de revisar las quejas hechas por diferentes usuarios, BeInCrypto habló con el Director de Seguridad de la Información (CISO) de Coinbase, Jeff Lunglhofer, para entender qué hace a los usuarios vulnerables a este tipo de ataques, cómo ocurren y qué se está haciendo para detenerlos.
Evaluando la gravedad de las estafas de Coinbase
Durante el primer trimestre de 2025, varios usuarios de Coinbase fueron víctimas de estafas de ingeniería social. Como el exchange centralizado líder en un sector donde los hacks se están volviendo más sofisticados con el tiempo, esta realidad no es una sorpresa.
En una investigación reciente, el investigador de Web3 ZachXBT informó sobre varios mensajes que recibió de diferentes usuarios de X que habían sufrido retiros importantes de sus cuentas de Coinbase.
El 28 de marzo, ZachXBT reveló un importante exploit de ingeniería social que le costó a un individuo cerca de 35 millones de dólares. Las investigaciones adicionales del detective cripto durante ese período descubrieron más víctimas del mismo exploit, elevando el total robado solo en marzo a más de 46 millones de dólares.
En una investigación separada concluida un mes antes, ZachXBT reveló que se robaron 65 millones de dólares de usuarios de Coinbase entre diciembre de 2024 y enero de 2025. También informó que Coinbase ha estado lidiando silenciosamente con un problema de estafa de ingeniería social que le cuesta a sus usuarios 300 millones de dólares al año.
Si bien los usuarios de Coinbase han sido particularmente vulnerables a las estafas de ingeniería social, los exchanges centralizados, en general, también se han visto significativamente afectados por estos ataques cada vez más sofisticados.
¿Cómo refleja el contexto más amplio esta situación?
Los datos públicos sobre la evolución de las estafas de ingeniería social en los últimos años son limitados y algo desactualizados. Sin embargo, las cifras en los informes disponibles son asombrosas. En 2023, el Centro de Quejas de Delitos en Internet (IC3) bajo el Buró Federal de Investigaciones de Estados Unidos (FBI) publicó su primer informe sobre criptomonedas.
El fraude de inversión constituyó la categoría más grande de quejas relacionadas con criptomonedas, representando el 46% de las casi 69,500 quejas recibidas, o aproximadamente 33,000 casos. El fraude de inversión, o pig butchering, implica promesas falsas de altos rendimientos con bajo riesgo para atraer a los inversores, especialmente a los nuevos en cripto impulsados por el miedo a perderse ganancias significativas.
Según el informe del IC3, estos esquemas se basan en la ingeniería social y la construcción de confianza. Los criminales utilizan plataformas como las redes sociales, aplicaciones de citas, redes profesionales o mensajería encriptada para conectarse con sus objetivos.
En 2023, estas estafas de inversión resultaron en pérdidas de 3,96 mil millones de dólares para los usuarios, lo que representa un aumento del 53% respecto al año anterior. Otras estafas de ingeniería social, como el phishing y el spoofing, constituyeron además 9,6 millones de dólares en pérdidas.
Estas estafas han afectado extensamente a los usuarios de Coinbase en los últimos años.
Nuevas tácticas de estafa dirigidas a usuarios cripto
Los estafadores de Coinbase tienden a crear correos electrónicos falsos que parecen legítimos utilizando imágenes clonadas de sitios web e identificaciones de casos falsas. Luego contactan a los usuarios a través de llamadas falsificadas, aprovechando la información privada para generar confianza antes de enviarles estos correos electrónicos engañosos.
Una vez que los estafadores han convencido a los usuarios de la legitimidad de la interacción, explotan la situación para persuadirlos de transferir fondos. La creciente sofisticación de estas estafas ilustra tanto la manipulación emocional involucrada como la particular vulnerabilidad de las víctimas.
Demuestran que los exchanges centralizados son a menudo las plataformas principales para estas explotaciones. Las investigaciones de ZackXBT y los informes de usuarios en X revelan una brecha entre la magnitud de las estafas de ingeniería social y la aparente efectividad de la gestión de Coinbase.
Las discusiones públicas indican que Coinbase no ha marcado direcciones de robo en herramientas de cumplimiento comunes. Las víctimas de estafas y los usuarios cuyos fondos fueron congelados están instando a Coinbase a tomar medidas más fuertes contra este problema creciente y costoso.
Entender cómo ocurren estas estafas es esencial para abordarlas de manera efectiva.
¿Cómo son victimizados los usuarios de Coinbase?
En enero, una víctima contactó al investigador después de perder 850,000 dólares. En ese caso, el estafador contactó a la víctima desde un número de teléfono falsificado, utilizando información personal probablemente obtenida de bases de datos privadas para ganar su confianza.
El estafador convenció a la víctima de que su cuenta había sufrido múltiples intentos de inicio de sesión no autorizados enviándole un correo electrónico falsificado con un ID de caso falso. Luego, el estafador instruyó a la víctima a incluir en la lista segura una dirección y transferir fondos a otro monedero de Coinbase como parte de un procedimiento rutinario de seguridad.
El pasado octubre, otro usuario de Coinbase perdió 6,5 millones de dólares después de recibir una llamada de un número falsificado que se hacía pasar por el soporte de Coinbase. La víctima fue coaccionada para usar un sitio de phishing.
Ocho meses antes, otra víctima perdió 4 millones de dólares después de que un estafador la convenciera de restablecer su inicio de sesión en Coinbase. ZachXBT expresó preocupaciones sobre la falta de Coinbase en reportar las direcciones de robo en recursos comunes de cumplimiento y su manejo percibido como inadecuado del problema de ingeniería social.
En una conversación con BeInCrypto, Jeff Lunglhofer, Director de Seguridad de la Información de Coinbase, compartió su versión de los eventos.
El CISO de Coinbase aborda las estafas de ingeniería social
A pesar de la clara comprensión de Coinbase del daño generalizado causado por las estafas de ingeniería social que afectan a sus usuarios, Lunglhofer enfatizó que la comunidad cripto en general debería abordar este problema colectivamente en lugar de confiar la responsabilidad a una sola entidad:
“En el contexto del desafío más amplio de la ingeniería social que existe, por supuesto, los clientes de Coinbase se ven afectados. Somos muy conscientes de ello. Hemos estado implementando una serie de mejoras de control para ayudar a proteger a nuestros usuarios y, creo que más importante, estamos trabajando con la industria en general para llevar estas ideas y estas mejoras de control a toda la industria, a todos los exchanges de criptomonedas, a todo,” dijo Lunglhofer a BeInCrypto.
El CISO de Coinbase hizo referencia a los esfuerzos colaborativos del exchange con otras plataformas para combatir este problema en su respuesta.
Específicamente, Lunglhofer señaló la iniciativa “Tech Against Scams”, una asociación con actores de la industria como Match Group, Meta, Kraken, Ripple y Gemini para combatir el fraude en línea y los esquemas financieros. Lunglhofer también agregó que Coinbase adopta un enfoque similar al marcar direcciones de robo.
Coinbase maneja las direcciones de robo de manera diferente
Cuando BeInCrypto preguntó a Coinbase por qué no publica direcciones de robo en herramientas de cumplimiento populares, Lunglhofer explicó que el exchange tiene un procedimiento diferente para estos escenarios:
“Nos comunicaremos directamente con otros exchanges [y] les informaremos sobre las direcciones que hemos visto donde se han retirado activos,” dijo, agregando que “cuando vemos que hay, de hecho, actividad fraudulenta, retiraremos todos los monederos asociados con el fraude y los enviaremos a los otros exchanges con los que tenemos comunicaciones,” dijo.
Lunglhofer también mencionó Crypto ISAC, un grupo de inteligencia e intercambio de información establecido por Coinbase en colaboración con varios otros exchanges de criptomonedas y organizaciones para distribuir información relacionada con estafas.
Cuando se trata de correos electrónicos falsificados, números de teléfono o sitios de phishing, Coinbase delega la responsabilidad a proveedores de servicios externos.
La lucha de Coinbase contra la avalancha de contenido falsificado
Lunglhofer admitió que la cantidad de correos electrónicos falsificados que Coinbase identifica o recibe en forma de informes supera con creces la capacidad del exchange para eliminarlos:
“Lamentablemente, son muy comunes. Puedo abrir diez de ellos en cinco minutos. Es muy fácil de hacer. Así que no hay mucho que podamos hacer al respecto. Pero, cuando los identificamos [o cuando] un cliente los informa, los eliminamos,” dijo.
Coinbase utiliza proveedores para eliminar falsificaciones o campañas de phishing en circulación en esos casos:
“Tenemos varios proveedores que utilizamos para realizar eliminaciones. Así que cada vez que vemos que aparece un número de teléfono fraudulento, cada vez que vemos una URL fraudulenta [o] un sitio web fraudulento establecido, emitiremos órdenes para su eliminación. Usaremos nuestros proveedores para trabajar con los proveedores de DNS y otros para eliminarlos lo más rápido posible,” dijo Lunglhofer a BeInCrypto.
Aunque estas medidas preventivas son esenciales para el futuro, proporcionan un recurso mínimo para los usuarios que ya han perdido millones de dólares en estafas.
¿De quién es la responsabilidad? Usuario vs. exchange
Coinbase no respondió a la consulta de BeInCrypto sobre el desarrollo de una póliza de seguro para usuarios que perdieron ahorros en estafas de ingeniería social, dejando su enfoque en esta área poco claro. Sin embargo, las estafas de ingeniería social son complejas, ya que dependen de una manipulación emocional significativa para generar confianza.
Esta complejidad plantea preguntas sobre el grado de responsabilidad que recae en la vulnerabilidad del usuario frente a posibles deficiencias en las medidas de protección del usuario del exchange centralizado. La comunidad de criptomonedas en general está de acuerdo en que se necesitan más materiales educativos para ayudar a los usuarios a distinguir entre comunicaciones legítimas e intentos de estafa.
Con respecto a este problema, Lunglhofer aclaró que Coinbase nunca llamará a los usuarios de la nada. También señaló que Coinbase ha implementado recientemente diferentes características que actúan como advertencias para los usuarios que potencialmente interactúan con una estafa.
Además, el CISO mencionó un ‘quiz de estafas’, una herramienta educativa que aparece como un banner en tiempo real cuando un usuario está a punto de realizar una transacción marcada como sospechosa por el exchange.
Aunque esta característica es una ventaja, su capacidad para proteger a los usuarios es difícil de cuantificar, especialmente en cuanto a la eficiencia con la que marca actividades sospechosas. Coinbase no respondió cuando BeInCrypto preguntó si el exchange rastreaba internamente datos relacionados con estafas de ingeniería social.
Un problema similar surge con las ‘listas de permitidos’ de Coinbase.
La pérdida de Coinbase de $850,000
Coinbase ofrece una función que permite a los usuarios crear una lista segura de direcciones de destinatarios aprobadas para ayudar a prevenir transacciones a direcciones desconocidas o no verificadas. Lunglhofer insta encarecidamente a los usuarios de Coinbase a adoptar esta medida:
“Ofrecemos a cada cliente minorista la capacidad de crear ‘listas de permitidos’ para monederos a los que se les permite transferir activos. En mi cuenta personal en Coinbase, tengo activada la ‘lista de permitidos’ y solo tengo tres monederos permitidos,” detalló Lunglhofer.
Sin embargo, la pérdida por estafa de 850,000 dólares sufrida por un usuario de Coinbase en enero, como reveló ZachXBT, muestra una limitación crítica de las listas seguras. Incluso después de que una víctima agrega una dirección de robo, la manipulación que lleva a esta adición aún puede ocurrir, neutralizando así la protección prevista.
¿Puede Coinbase hacer más para proteger a usuarios?
Las estafas de ingeniería social sofisticadas son una amenaza creciente, creando desafíos significativos para los usuarios de criptomonedas. Los usuarios de Coinbase y los exchanges centralizados en general se ven particularmente afectados.
A pesar de los esfuerzos descritos por Coinbase, las pérdidas financieras significativas destacan las limitaciones de las medidas estándar de la industria actuales contra estafadores decididos. Si bien la cooperación es crucial en todos los ámbitos, Coinbase, como una plataforma líder, también debe poner más esfuerzos proactivos y recursos en educar a sus usuarios.
La ingeniería social es predominantemente un problema impulsado por el usuario, no una falla de seguridad de ningún exchange. Sin embargo, plataformas como Coinbase tienen la responsabilidad crítica de liderar iniciativas a nivel de la industria para abordar estas amenazas.
Los millones perdidos son un recordatorio contundente de que la vigilancia y la acción colectiva son primordiales para proteger a los usuarios contra estos ataques cada vez más refinados y frecuentes.
eToro
eToro
eToro
eToro
Arkham
Plus500
Moonacy
Coinbase
Descargo de responsabilidad
Descargo de responsabilidad: siguiendo las pautas de Trust Project, este artículo presenta opiniones y perspectivas de expertos de la industria o individuos. BeInCrypto se dedica a la transparencia de los informes, pero las opiniones expresadas en este artículo no reflejan necesariamente las de BeInCrypto o su personal. Los lectores deben verificar la información de forma independiente y consultar con un profesional antes de tomar decisiones basadas en este contenido.
