Un usuario Ethereum pierde $440,358 en USDC tras una explotación maliciosa de permisos.

Un usuario de criptomonedas perdió $440,358 en USD Coin (USDC) en Ethereum después de aprobar sin saberlo una firma de “permiso” fraudulenta que permitió a un atacante vaciar su billetera, según confirmó la plataforma de seguridad Web3 Scam Sniffer.

La víctima, que usaba la dirección de billetera 0x67E8561Ba9d3f4CBe5fEd4C12c95b54f073a0605, aprobó una transacción maliciosa que le otorgó al atacante plenos derechos de gasto. El detector de estafas detectó el envío de fondos a dos direcciones distintas, 0xbb4…666f682aF y 0x6a3aF6…d8F9a00B.

Un atacante de phishing aprueba una transferencia de USDC de 440.000 de la víctima

Según datos de blockchain de Etherscan, el atacante se basó en una transacción de "permiso", un tipo de firma que transfiere tokens sin necesidad de que el propietario los confirme manualmente. Incluso si no parece haber movimiento de dinero al momento de la firma, el atacante puede ingresar posteriormente el monto y cash sin necesidad de consentimiento adicional, que en este caso fue de $440,358.

Una vez aprobado, el atacante realizó varias llamadas "transferFrom" utilizando eltracFiatTokenProxy, que gestiona las transacciones en USDC. Alrededor de las 10 a. m. UTC del lunes, se enviaron 22 000 USDC a una cuenta de "phishing falso": 66 060 USD a la dirección 0xbb4…666f682aF y 352 300 USD a 0x6a3aF6…d8F9a00B simultáneamente.

víctima:
0x67E8561Ba9d3f4CBe5fEd4C12c95b54f073a0605

Estafadores:
0xbb4223Ef4cCe93fB40beb62178aBE9A666f682aF
0x6a3aF6Cb51D52F32D2A0A6716a8EFF99d8F9a00B https://t.co/GdyGP2iPYZ pic.twitter.com/IukksnpAl1

— Detector de estafas | Web3 Anti-Scam (@realScamSniffer) 8 de diciembre de 2025

Scam Sniffer también informó sobre otro incidente de phishing dent 7 de noviembre, cuando otro usuario perdió $1,22 millones en USDC y un token PlaUSDT0 solo 30 minutos después de firmar mensajes de permiso fraudulentos.

El informe de phishing de noviembre de la firma de seguridad Web3 muestra que las pérdidas totales alcanzaron los 7,77 millones de dólares, un aumento del 1137 % con respecto a los 3,28 millones de dólares de octubre. A pesar del aumento de las pérdidas, el número de víctimas disminuyó un 42 %, con 6344 usuarios afectados en noviembre, una caída del 42 % con respecto a las 10 935 víctimas registradas el mes anterior.

Hace casi una semana, algunos hackers utilizaron el envenenamiento de direcciones para robar 1,1 millones de USDT en Ethereum. Según Kyle Soska, director de TI de Ramiel Capital, el grupo monitoreó pequeñas transferencias salientes desde billeteras de ballenas y luego utilizó sistemas con GPU para generar direcciones casident. 

En este caso, el atacante envía una pequeña transacción de tether a la víctima en la cadena de bloques para que la dirección similar aparezca en la lista de actividad reciente de su billetera web3. La víctima eligedentesta dirección para enviar la gran cantidad de dinero, dijo Soska, respondiendo a un usuario de X que preguntó cómo fue posible eldent .

La temporada de compras navideñas se vio inundada de estafas de suplantación de identidad

La escalada del phishing relacionado con criptomonedas se produce tras un repunte de las estafas digitales durante la temporada de compras navideñas. Darktrac trac , una firma de ciberseguridad trac las tendencias globales de phishing entre consumidores, reportó un aumento del 201% en las estafas de suplantación de identidad de importantes minoristas estadounidenses durante la semana previa al Día de Acción de Gracias, en comparación con la misma semana de octubre.

Los correos electrónicos que suplantaban a Macy's, Walmart y Target aumentaron un 54% en una sola semana, pero Amazon fue la empresa más suplantada en general, representando el 80% de los intentos de phishing, más que las marcas de consumo digitales Apple, Alibaba y Netflix. 

Solo a principios de noviembre, Kaspersky detectó 146.535 correos electrónicos spam que hacían referencia a descuentos de temporada, incluyendo 2.572 relacionados con campañas del Día del Soltero. Muchos de estos mensajes reutilizaban plantillas probadas de años anteriores, con estafadores que imitaban a Amazon, Walmart y Alibaba para anunciar ofertas anticipadas que redirigían a los usuarios a páginas de pago falsas para robardenty ejecutar aprobaciones maliciosas.

Los datos de Kaspersky Security Network (KSN) muestran que, entre enero y octubre, la compañía bloqueó 6.394.854 intentos de phishing dirigidos a tiendas online, bancos y sistemas de pago. Casi la mitad de estos intentos (el 48,2 %) se dirigieron específicamente a compradores online.

Durante el mismo período, Kasperskydentmás de 20 millones de ataques a plataformas de juegos, incluidos 18,56 millones que abusaban de Discord, que según la compañía es un punto de distribución de archivos maliciosos disfrazados de software de juegos.

Las plataformas de entretenimiento también sufrieron un intenso ataque, con 801.148 intentos de phishing relacionados con Netflix y 576.873 relacionados con Spotify registrados en 2025. La compañía también documentó 2.054.336 intentos de phishing suplantando a las plataformas de juegos Steam, PlayStation y Xbox.

Además, Kaspersky registró 20.188.897 intentos de infecciones de malware disfrazados de "software común", y Discord representó la mayoría con 18.556.566 detecciones, más de 14 veces más que losdentreportados el año pasado.

¿Quieres que tu proyecto esté presente en las mentes más brillantes del mundo de las criptomonedas? Preséntalo en nuestro próximo informe del sector, donde los datos se combinan con el impacto.