Se han descubierto unas estafas en la red social X, antiguo Twitter, que engaña a los usuarios para robarles criptomonedas. Según han podido comprobar desde Bleeping Computer, estafadores de criptomonedas están abusando de una "función" legítima de Twitter para promover estafas, obsequios falsos.
En X, la URL de una publicación consta del nombre de la cuenta de la persona que postea y un ID de estado. Concretamente así: https://twitter.com/[nombre_cuenta]/status/[status_id]. De acuerdo con la información publicada, "la web utiliza el ID de estado para determinar qué publicación debe cargarse desde la base de datos del sitio, sin molestarse en verificar si el nombre de la cuenta es válido".
Esto permite a cualquiera tomar una URL para un tuit y modificar el nombre de la cuenta al que quiera redirigir, incluso cuentas reconocidas. Al visitar la URL, el sitio web redirige al usuario a la URL asociada con la identificación. Parecen publicaciones legítimas de una cuenta conocida pero que te pueden llevar a un perfil que nada tiene que ver.
Cómo funciona esta estafa en Twitter, o X
La noticia en la web de seguridad pone como ejemplo una URL que parece del perfil de Bleeping Computer en X y al entrar, vas a un post de Elon Musk. El ejemplo que ponen es este y lo compartimos aquí para tú puedas comprobarlo también a dónde te lleva: https://twitter.com/BleepinComputer/status/1736650221243826564
La propia BleepingComputer informó anteriormente sobre esta función en 2019, cuando el investigador de seguridad Davy Wybiral habló de que la función podía usarse para phishing.
Ahora sí que los estafadores están usando este mecanismo de redireccionamiento durante las últimas dos semanas, por lo menos, para crear URL que parecen pertenecer a entidades legítimas y conocidas. De hecho, están relacionadas con cuentas como la Binance (qque tiene 11 millones de seguidores), la Fundación Ethereum (3 millones), zkSync (1,3 millones), entre otras.
Las publicaciones promocionan regalos falsos. Por ejemplo, un tuit falso de zkSync que han podido descubrir llevaba al usuario a una página que se hacía pasar por la empresa y donde se promocionaba un sitio web. Se ha descubierto que esa web sirve para robar criptomonedas: te pide conectar tu billetera para obtener el regalo, y automáticamente roba todos los activos criptográficos y NFT que tengas ahí guardados.
Imagen | Foto de BoliviaInteligente en Unsplash
Ver 0 comentarios