Wallet Drainers en 2026: Anatomía del Phishing Cripto Moderno

Introducción 1. Panorama Macroeconómico

1. El panorama macroeconómico del phishing en 2026

El volumen de actividad maliciosa en la web ha escalado de forma alarmante. Durante el último año, los investigadores de seguridad rastrearon aproximadamente11.9 millones de dominios maliciosos, con un promedio diario de 378,411 dominios activos en cualquier momento dado. Esta saturación del espacio digital está diseñada para abrumar los mecanismos de defensa reactiva de las instituciones financieras y plataformas tecnológicas, que son ahora los objetivos principales de estas campañas.

Las estadísticas revelan que elsector tecnológico concentra el 36.13% de los ataques, seguido por el sector gubernamental y financiero con un 26.84%, y el comercio electrónico con un 14.72%. Estas industrias ofrecen un alto apalancamiento para los atacantes, ya que comprometer una sola identidad puede desbloquear el acceso a múltiples sistemas críticos.

La sofisticación de los ataques ha impulsado elpago promedio por estafa de $782 en 2024 a $2,764 en 2025— un aumento interanual del 253%. Este fenómeno se explica por el abandono de campañas masivas e indiscriminadas por parte de los estafadores en favor de ataques altamente dirigidos y personalizados. Ahora utilizan herramientas de inteligencia artificial para identificar y explotar a individuos de alto patrimonio, conocidos como "ballenas" en el argot cripto.

El papel de las stablecoins ha sido fundamental en esta expansión. En 2026, las stablecoins representan el84% de todo el volumen de transacciones ilícitas. Su estabilidad de precio las convierte en el vehículo ideal para el lavado de dinero y la evasión de sanciones, especialmente en redes vinculadas a Rusia como Garantex y el clúster de billeteras A7, que procesaron más de$39 mil millones en 2025bajo un esquema coordinado de evasión de sanciones estatales.

Para una visión más amplia del panorama de seguridad, incluyendo los $3.41 mil millones en pérdidas totales durante 2025, consulte nuestroInforme de Seguridad Cripto 2025–2026.

2. Economía DaaS

2. La economía del Drainer-as-a-Service (DaaS)

El modelo de negocio detrás del robo de billeteras se ha estructurado de manera similar al Ransomware-as-a-Service (RaaS). Los desarrolladores de malware crean infraestructuras completas que alquilan a "afiliados" con menos conocimientos técnicos. Estos proveedores de Drainer-as-a-Service (DaaS) ofrecen paneles de control, generadores de páginas de aterrizaje, bots de Telegram y soporte técnico paramás de 90 tipos de billeteras.

El modelo DaaS ha industrializado eficazmente el robo de criptomonedas. Un afiliado con habilidades mínimas de programación puede lanzar una campaña de phishing en cuestión de horas, aprovechando páginas de phishing diseñadas profesionalmente que imitan dApps populares, lanzamientos de NFT y sitios de reclamo de airdrops. La barrera de entrada nunca ha sido tan baja, y los rendimientos nunca han sido tan altos.

El Rublevka Team: anatomía de un "Traffer Team"

El grupo conocido como "Rublevka Team" es un ejemplo destacado de esta profesionalización. Operando desde 2023, este equipo de origen ruso ha generadomás de $10 millonesa través de campañas impulsadas por afiliados. Su éxito radica en una estructura jerárquica y competitiva:

Reclutamiento y estructura.El grupo recluta especialistas en ingeniería social a través de foros especializados como LolzTeam, Exploit y XSS. Los afiliados reciben entre el75% y el 80% del botín, mientras que los desarrolladores principales retienen el porcentaje restante como tarifa de servicio. Esta generosa repartición atrae un flujo constante de nuevos operadores deseosos de participar.

Infraestructura de evasión.El Rublevka Team emplea técnicas avanzadas de "cloaking" (encubrimiento) para restringir el acceso a sus páginas de phishing basándose en la dirección IP, el ISP o el país de origen del visitante. Esto evita que los investigadores de seguridad o los bots de Google detecten el contenido malicioso. Si un investigador de una firma de seguridad conocida visita la URL, ve una página inocua. El contenido real de phishing solo se sirve a las víctimas objetivo.

Bypass de "Red Table".Han implementado funciones para desbloquear dominios marcados como peligrosos por Google, mostrando temporalmente contenido inofensivo ("páginas blancas") para evadir los escaneos de seguridad. Una vez que el dominio es eliminado de las advertencias de Google Safe Browsing, el contenido de phishing se vuelve a habilitar.

El despliegue de estas herramientas permite a los atacantes conexperiencia técnica mínimapara lanzar campañas de alto impacto, explotando eventos mediáticos como lanzamientos de tokens (airdrops) o preventas de NFT para atraer víctimas. Una página falsa de "reclama tu airdrop", combinada con la promoción en redes sociales a través de cuentas comprometidas, puede generar retornos de seis cifras en un solo día.

3. Anatomía Técnica

3. Anatomía técnica del drainer moderno

Los drainers de 2026 han evolucionado para explotar la complejidad de lossmart contractsy los nuevos estándares de red. A diferencia de los métodos antiguos que requerían que el usuario enviara manualmente sus activos, los drainers modernos inducen a la víctima a firmar transacciones que otorganpermisos ilimitados sobre sus fondos.

Comprender los mecanismos técnicos es crítico porque revela por qué el consejo de seguridad tradicional — "nunca compartas tu frase semilla" — ya no es suficiente. La nueva generación de ataques no necesita tu frase semilla. Necesita una sola firma en una transacción cuidadosamente diseñada. Para más información sobre cómolas aprobaciones de tokens crean riesgos ocultos, consulta nuestro artículo dedicado.

EIP-7702: el nuevo campo de batalla

La actualización Pectra de Ethereum introdujo el estándar EIP-7702, diseñado originalmente para aportar capacidades de abstracción de cuentas a las Cuentas de Propiedad Externa (EOA) como MetaMask. Sin embargo, este estándar ha abierto unasuperficie de ataque cualitativamente nueva.

El EIP-7702 permite que una EOA delegue temporalmente su lógica de ejecución a un contrato inteligente externo mediante la firma de una tupla de autorización. Los grupos de phishing han desarrollado una taxonomía de ataques bajo este estándar:

Engaño por puntero de delegación.Se engaña a los usuarios para que autoricen una dirección que aloja lógica maliciosa. Dado que la implementación delegada es opaca en el momento de la firma, el usuario instala efectivamente un "cerebro malicioso" en su propia billetera. La vista previa de la transacción en la mayoría de las interfaces de billetera no comunica claramente las implicaciones de una delegación EIP-7702.

Persistencia del control.Una vez que la delegación se escribe en el slot de código de la cuenta, todas las llamadas posteriores se enrutan automáticamente a través del código del atacante. Esto crea unaseparación temporal entre el momento del phishing y el momento del robo, permitiendo al atacante esperar hasta que la billetera tenga un saldo mayor antes de ejecutar el drenaje.

Activación de contexto cruzado.El código malicioso puede activarse no solo mediante transacciones iniciadas por el usuario, sino también mediante llamadas externas de otros contratos o protocolos. Esto permite el drenaje automático de activos sin ninguna intervención directa de la víctima: la billetera puede ser vaciada mientras el usuario duerme.

Desde un punto de vista técnico, la implementación utiliza un nuevo tipo de transacción,SET_CODE_TX_TYPE (0x04), que incluye una lista de autorizaciones firmadas. Si un usuario firma una de estas autorizaciones apuntando a un contrato drainer, el atacante puede invocar funciones de transferencia masiva de tokens ERC-20, NFTs y ETH de forma atómica y silenciosa.

Permit2 vs. EIP-7702: una comparación técnica

El peligro del EIP-7702 radica en el hecho de querompe supuestos de seguridad fundamentales. Muchos desarrolladores confiaban en la comprobacióntx.origin == msg.senderpara prevenir ataques de reentrada o préstamos flash, asumiendo que las EOA no podían ejecutar código de contrato. El EIP-7702 invalida esta premisa, permitiendo que una cuenta personal se comporte como un contrato malicioso en contextos de gobernanza o protocolos DeFi. Para una comprensión más profunda de los tipos de billeteras y sus propiedades de seguridad, consulta¿Qué es una cripto wallet?

4. Adaptación de Red

4. Adaptación por red: Solana, TON y Capas 2

Los desarrolladores de drainers han diversificado sus objetivos para incluir redes con tarifas más bajas y grandes volúmenes de usuarios minoristas. La expansión más allá de Ethereum representa una maduración de la amenaza: los kits de drainer ahora incluyen soporte multicadena de serie.

Solana y el malware CLINKSINK

Solana se ha convertido en un objetivo prioritario debido a su velocidad de transacción y al auge de las memecoins. El drainer conocido como CLINKSINK, identificado por investigadores de seguridad en 2026, utiliza páginas de phishing quesuplantan a Phantom, DappRadar y BONK. Una vez que la víctima conecta su billetera para reclamar un supuesto airdrop, se le pide que firme una transacción fraudulenta que transfiere instantáneamente sus tokens SOL y SPL a las direcciones de los atacantes.

Se estima que las campañas que utilizan CLINKSINK han robado$900,000, distribuyendo el botín en una proporción 80/20 entre el afiliado y el operador del servicio. La agilidad de estos grupos es evidente en su rotación constante de dominios y APIs RPC (Remote Procedure Call) para evadir las listas negras de las billeteras. Un dominio puede estar activo solo de 4 a 6 horas antes de ser rotado, lo que hace que las defensas tradicionales basadas en listas negras sean en gran medida ineficaces.

The Open Network (TON) y el engaño basado en comentarios

La integración de TON con Telegram ha facilitado una nueva modalidad de phishing basada en lafunción de comentarios de transacciones. Los atacantes envían ofertas falsas de, por ejemplo, 5,000 USDT, utilizando el campo de comentario para mostrar mensajes como "Recibir 5,000 USDT" junto a un botón de "Confirmar". Cuando el usuario firma lo que parece ser un recibo de fondos, en realidad autoriza un contrato que drena sus Toncoins y Jettons (tokens de TON).

Aunque algunos operadores de drainers han abandonado TON debido a la falta de "ballenas" (inversores de gran capital), elvolumen de víctimas minoristas sigue siendo significativo. La proximidad social de Telegram —donde los usuarios pueden recibir mensajes maliciosos de contactos cuyas cuentas han sido comprometidas— añade una capa de confianza de la que carecen los canales de phishing tradicionales.

El dominio de las Capas 2: Base y Arbitrum

En 2026, las redes de Capa 2 (L2) como Base y Arbitrum concentranmás del 77% del valor total bloqueadoen el ecosistema L2. Base, en particular, se ha convertido en el líder en transacciones diarias, superando a menudo los 50 millones de transacciones mensuales. Esta concentración de usuarios, impulsada por la facilidad de acceso desde Coinbase, ha atraído a desarrolladores de kits de drainer como Inferno y Angel, que ahora incluyensoporte nativo para estas redes.

Las bajas tarifas de gas en estas redes permiten a los estafadores realizarataques de envenenamiento de direcciones (address poisoning)a escala masiva. Envían microtransacciones desde direcciones que son visualmente similares a las propias direcciones del usuario, con la esperanza de que la víctima copie una dirección maliciosa de su historial de transacciones al realizar futuras transferencias. En la red principal de Ethereum, el coste de gas de cada transacción de envenenamiento sería prohibitivo. En Base o Arbitrum, un atacante puede enviar miles de transacciones de envenenamiento por unos pocos dólares.

Para más información sobre cómo interactúan los diferentes tipos de billeteras con estas redes, consulta nuestra guía sobrebilleteras de hardware.

5. Revolución de la IA

5. La revolución de la IA en el phishing

El uso de inteligencia artificial generativa ha transformado el phishing de una actividad de "bajo esfuerzo" en una operación de alta fidelidad. Los correos electrónicos de phishing generados por IA lograntasas de clics cuatro veces superioresa las de los métodos tradicionales. La gramática es impecable, la personalización es precisa y el sentido de urgencia está calibrado para el perfil de cada víctima.

Vishing con deepfakes y clonación de voz

La clonación de voz se ha convertido en una herramienta crítica para el compromiso de correos electrónicos corporativos (BEC) y el fraude al consumidor. Con solotres segundos de audiode una persona, los atacantes pueden generar clones de voz con unaprecisión del 85%, alcanzando un umbral de "indistinguibilidad" para el oído humano.

En marzo de 2026, se informaron casos en los que los estafadores utilizaron clones de voz de nietos para engañar a abuelos, solicitando pagos urgentes en Bitcoin para una supuesta fianza. En el ámbito corporativo, el incidente de la firma Arup sigue siendo el caso de referencia: un empleado transfirió$25.6 millonestras participar en una videollamada deepfake donde aparecían el CFO y otros colegas, todos generados sintéticamente.

La combinación de clonación de voz y video deepfake en tiempo real ha creado una amenaza cualitativamente diferente del phishing tradicional. Cuando una víctima ve y escucha a una persona en la que confía pidiéndole que actúe, las defensas psicológicas que protegen contra las estafas por correo electrónico simplemente no se activan. Para una guía completa sobre cómo protegerse, consultaMantenerse seguro en el mundo cripto.

Agentes de estafa autónomos

La frontera más reciente es el despliegue de agentes autónomos basados en modelos de lenguaje extensos (LLM). Estos bots pueden mantener conversaciones de "romance" o de inversión (Pig Butchering) simultáneamente conmiles de víctimas, adaptando inteligentemente su tono y personalidad a lo largo de semanas o meses.

La operación "Truman Show" descubierta por Check Point reveló el uso de90 "expertos" generados por IAen grupos de mensajería, quienes dirigían a las víctimas a aplicaciones de trading con datos de mercado controlados por el atacante. Las víctimas creían estar recibiendo consejos de una comunidad de traders exitosos. En realidad, cada "experto", cada gráfico y cada historia de éxito era fabricada por IA.

6. Casos de estudio

6. Casos de estudio: 2025–2026

El análisis de incidentes recientes revela la ejecución práctica de estas amenazas y las lecciones que cada una conlleva para cualquier persona que gestione activos digitales.

El robo de 282 millones de dólares mediante ingeniería social

En enero de 2026, un usuario de monedero de hardware sufrió una pérdida récord de282 millones de dólares en Bitcoin y Litecoin. A pesar de usar un Trezor, considerado uno de los monederos más seguros disponibles, la seguridad fue vulnerada por un esquema de ingeniería social donde los atacantes suplantaron al soporte técnico para manipular al usuario.

La investigación reveló que los atacantes utilizaron unaclave API filtradapara facilitar el engaño, haciendo que su suplantación del soporte legítimo fuera más convincente. Los fondos fueron lavados rápidamente a través de exchanges instantáneos y rutas vinculadas a THORChain, siendo finalmente convertidos aMonero (XMR)para borrar el rastro. La conversión a Monero —una moneda de privacidad con transacciones rastreables— significa que la recuperación es virtualmente imposible.

Este caso es la ilustración más costosa de una verdad fundamental:los monederos de hardwareprotegen contra el malware y la extracción remota de claves, pero ofrecencero protección contra un usuario que entrega voluntariamente su frase de recuperación. El dispositivo no puede distinguir entre una recuperación legítima y un ataque de ingeniería social.

La explotación del protocolo TrueBit

A principios de 2026, el protocolo TrueBit en Ethereum fue explotado a través de una vulnerabilidad en su lógica de precio de acuñación del token TRU. Un atacante abusó de unerror matemático que permitió acuñar grandes cantidades de TRU con casi cero ETH, drenando aproximadamente26,6 millones de dólares en Etherde las reservas del protocolo.

Este caso demuestra que, si bien el phishing es la amenaza dominante,las vulnerabilidades técnicas en contratos inteligentes "estancados" o de baja visibilidad siguen siendo un riesgo latente. El contrato de TrueBit había sido desplegado años antes y no había recibido la atención de seguridad continua de la que se benefician los protocolos más activos. Los contratos heredados que mantienen un valor significativo sin mantenimiento activo representan una bomba de tiempo. Para obtener orientación sobre cómo evaluar la seguridad de los contratos inteligentes, consulteCómo verificar contratos inteligentes.

Campañas de suplantación de identidad gubernamental: E-ZPass

Una de las campañas de phishing más masivas de 2025 fue la operación "E-ZPass", que afectó a millones de conductores en los Estados Unidos. El grupo conocido como "Smishing Triad", utilizando la infraestructura "Lighthouse", enviómensajes SMS fraudulentos sobre deudas de peajeque dirigían a los usuarios a sitios web indistinguibles de los oficiales.

Esta operación alcanzó los330.000 mensajes enviados en un solo díay logró recaudar aproximadamente1.000 millones de dólares en tres años, demostrando el poder del Phishing-as-a-Service (PhaaS). La escala de esta campaña muestra que la infraestructura de phishing ha madurado hasta un punto en el que puede sostener operaciones de varios años generando retornos de nueve cifras, rivalizando con los ingresos de empresas tecnológicas legítimas.

Si bien E-ZPass se centró en métodos de pago tradicionales, la misma infraestructura y técnicas se están adaptando activamente para el robo de criptomonedas. El manual de estrategias es idéntico: crear urgencia, suplantar a la autoridad y dirigir a la víctima a un sitio que capture sus credenciales o firmas de autorización.

7. Estrategias de protección

7. Estrategias de protección y resiliencia en 2026

La defensa contra el phishing moderno requiere una transición de la "confianza implícita" a unaarquitectura Zero Trust. Cada interacción, cada solicitud de transacción y cada comunicación debe ser verificada de forma independiente. Los días de confiar en una URL porque "parece correcta" o en una persona que llama porque "suena legítima" han terminado.

Para obtener una guía completa sobrecómo mantenerse seguro en el mundo criptoymejores prácticas de privacidad y seguridad, consulte nuestros artículos dedicados en Learn.

Sinergia hardware-software: el modelo SignGuard

En 2026, poseer unmonedero de hardwareya no es una garantía suficiente de seguridad. La tendencia actual es el uso desistemas integrados de protección de firmas (SignGuard). Este enfoque significa que la aplicación del monedero (software) analiza y descompila la transacción antes de que llegue al dispositivo físico.

Paridad de análisis.El software debe mostrar los detalles de la transacción en un formato legible para los humanos, advirtiendo sobre métodos de contrato sospechosos o aprobaciones de gasto ilimitadas. Si ve una transacción que solicitaapprove(address, uint256.max), la interfaz debe indicar explícitamente que está otorgando acceso ilimitado a sus tokens.

Protección de código abierto.Existe una demanda creciente de dispositivos con firmware y hardware totalmente auditables (open source), eliminando el riesgo de "puertas traseras" del fabricante. Si el firmware no es de código abierto, está confiando en las prácticas de seguridad del fabricante por fe.

Seguridad multinivel.Se recomienda el uso de llaves de seguridad físicas (FIDO2/YubiKey) para proteger el acceso a exchanges y correos electrónicos, eliminando la vulnerabilidad del 2FA basado en SMS. Los ataques de SIM-swap siguen siendo una amenaza significativa, y el 2FA por SMS debe considerarse comprometido por defecto.

Gestión de delegaciones EIP-7702

Para los usuarios que interactúan con el nuevo estándar de Ethereum,la higiene de la delegación es obligatoria. Es esencial utilizar herramientas como el EIP-7702 Delegation Checker para verificar si una dirección ha sido delegada a un contrato desconocido.

La revocación de una delegación EIP-7702 se realiza firmando una nueva autorización que apunte a ladirección cero (address(0)), lo que borra efectivamente el marcador de código del monedero y restaura su comportamiento estándar. Esto debe hacerse de inmediato si sospecha de cualquier delegación no autorizada, y de manera proactiva como parte del mantenimiento de seguridad regular.

Firewalls de IA y seguridad del navegador

Han surgido plataformas de extensiones de seguridad para navegadores basadas en IA, como LayerX y SquareX, que analizan elcomportamiento del navegador en tiempo real. Estas herramientas detectan si una extensión maliciosa intenta inyectar prompts en herramientas de IA generativa o si intenta suplantar la interfaz de monederos populares como MetaMask o Phantom.

La detección ya no se basa en firmas de malware conocidas, sino en elanálisis dinámico de anomalías de comportamiento. Si un sitio web intenta superponer una ventana emergente falsa de MetaMask sobre la real, o si solicita un tipo de firma inconsistente con la acción que el usuario cree estar realizando, la capa de seguridad interviene antes de que se envíe la firma.

8. Más allá de las frases semilla

8. El futuro de la seguridad: más allá de las frases semilla

El modelo tradicional de una única frase semilla como punto único de fallo está siendo reemplazado, especialmente en entornos institucionales y para usuarios de alto patrimonio.

Tecnología MPC (Multi-Party Computation).Este enfoque divide la clave privada en múltiples fragmentos distribuidos en diferentes dispositivos y partes, de modo que ningún dispositivo o persona tiene el control total de los fondos. Incluso si un fragmento se ve comprometido, el atacante no puede reconstruir la clave completa sin obtener un número umbral de fragmentos adicionales.

Abstracción de cuenta permanente.La migración a carteras de contratos inteligentes (EIP-4337) permite la implementación delímites de gasto, listas blancas de direcciones y recuperación social. Estas funciones minimizan los daños en caso de que una firma se vea comprometida. Un límite de gasto de 1.000 dólares al día significa que incluso un ataque de phishing exitoso solo puede drenar 1.000 dólares antes de que la víctima detecte el problema y responda.

Higiene operativa.La recomendación general para 2026 es utilizar hot wallets únicamente para operaciones diarias con cantidades pequeñas, mientras que el grueso de los activos debe permanecer enbóvedas de hardware desconectadas de cualquier interacción frecuente con dApps. La regla de oro: si no llevarías esa cantidad de dinero en efectivo en el bolsillo por la calle, no debería estar en una hot wallet.

Para profundizar en las arquitecturas de carteras y sus compromisos de seguridad, consulte nuestras guías sobrecarteras criptoycarteras de hardware.

9. Conclusiones clave