NFT: seis personas imputadas en Estados Unidos por el vaciado de wallets desde Madagascar

El 28 de octubre de 2026, seis personas fueron imputadas en Estados Unidos por su presunto papel en una vasta operación de vaciado de carteras de criptoactivos dirigida a poseedores de NFT desde Madagascar. Este caso, que habría provocado pérdidas estimadas en más de 500.000 dólares, ilustra la vulnerabilidad persistente de los usuarios frente a los ataques que explotan permisos de firma fraudulentos, un riesgo distinto de los fallos técnicos de las blockchains. Contexto El mercado de los NFT, tras un pico de entusiasmo en 2021-2022, ha experimentado un retroceso marcado, con una capitalización global dividida por tres desde su máximo. A pesar de este declive, los ataques dirigidos a coleccionistas e inversores siguen siendo frecuentes, a menudo mediante técnicas de "wallet draining" – scripts maliciosos que incitan a las víctimas a firmar transacciones que dan acceso a sus activos. Estos ataques explotan menos las vulnerabilidades de los protocolos que las lagunas en la comprensión de los usuarios, especialmente en materia de gestión de permisos. El caso actual se inscribe en una serie de acciones judiciales estadounidenses contra fraudes relacionados con criptoactivos, reflejando una voluntad creciente de las autoridades de sancionar las actividades ilícitas en las blockchains. La elección de Madagascar como presunta base de las operaciones recuerda los desafíos que plantea la localización de los actores maliciosos en un ecosistema descentralizado, donde las fronteras geográficas se desvanecen. Por otra parte, el mercado de los NFT, ya debilitado por una baja liquidez, podría sufrir una desconfianza acrecentada si tales casos se multiplican. Los hechos Según The Defiant , difundido por CryptoActu , el FBI estima las pérdidas relacionadas con este caso en 516.695 dólares, repartidas en 74 carteras identificadas como víctimas. Las imputaciones afectan a seis personas, cuyas identidades y cargos precisos no han sido revelados. Las presuntas operaciones habrían sido orquestadas desde Madagascar, aunque los detalles sobre los mecanismos de coordinación o las infraestructuras utilizadas siguen siendo difusos. Los datos de CryptoScore Pro al 28 de octubre de 2026 a las 00:19 UTC indican un contexto de mercado relativamente estable, con un Bitcoin (BTC) a 80 671 dólares (+0,67 % en 24 horas) y un Ether (ETH) a 2 344 dólares (+0,82 % en 24 horas). El índice Crypto Fear & Greed se situaba en 48/100 el 27 de octubre, señalando una neutralidad en el sentimiento de los inversores. Estos indicadores sugieren que el caso no ha tenido un impacto inmediato en los precios de las principales criptomonedas. Las pérdidas afectan principalmente a tokens fungibles, concretamente USDT, más que a los propios NFT, aunque estos últimos sirvieron como punto de entrada para los ataques. El mecanismo se basa en autorizaciones de gasto ilimitadas ( setApprovalForAll ), lo que permite a los atacantes transferir los activos sin una nueva validación de la víctima. No se ha comunicado ninguna información sobre las colecciones de NFT específicamente afectadas, ni sobre el recorrido de los fondos tras su transferencia. La declaración jurada del FBI, citada por la fuente, menciona las autorizaciones ilimitadas en USDT como el vector principal del ataque. Este tipo de permiso, utilizado a menudo en las interacciones con contratos inteligentes, puede ser desviado si la dirección beneficiaria está controlada por actores maliciosos. A diferencia de un robo de clave privada, este método no requiere comprometer directamente la seguridad de la cartera, sino que explota una firma obtenida bajo falsos pretextos. Comprender los conceptos clave Wallet drainer Un wallet drainer es un script o programa malicioso diseñado para vaciar una cartera de criptoactivos incitando a su propietario a firmar una transacción o una autorización. A diferencia de un hackeo clásico, que explotaría un fallo técnico, este método se basa en el engaño: la víctima cree que está firmando una operación anodina (como la compra de un NFT o el acceso a un servicio), cuando en realidad está otorgando un acceso extendido a sus fondos. Por ejemplo, un usuario podría hacer clic en un enlace fraudulento que le promete un airdrop y luego validar una autorización que permitiría al atacante transferir todos sus USDT sin nueva confirmación. Autorización de gasto ( approval o setApprovalForAll ) Una autorización de gasto es una funcionalidad de las blockchains como Ethereum, que permite a un usuario otorgar a un contrato inteligente o a una dirección de terceros el derecho de mover algunos de sus activos. Por ejemplo, cuando un poseedor de NFT interactúa con un mercado como OpenSea, a menudo debe firmar una autorización para que la plataforma pueda transferir sus tokens durante una venta. Una autorización ilimitada otorga un acceso permanente, mientras no sea revocada. En el caso malgache, los atacantes habrían explotado este mecanismo obteniendo autorizaciones en USDT, lo que les permitió sifonar los fondos de las víctimas sin alertarlas. Seed phrase y seguridad de las billeteras La seed phrase (o frase de recuperación) es una serie de palabras generadas durante la creación de una billetera de criptoactivos, que sirve como llave maestra para acceder a sus fondos. Si esta frase se ve comprometida, un atacante puede tomar el control total de la billetera. Sin embargo, en el caso de los wallet drainers , la seed phrase no es necesariamente robada: es una autorización maliciosa la que permite el drenaje. Esto resalta una limitación frecuente en la percepción de la seguridad: proteger la seed phrase no es suficiente si permanecen activas autorizaciones peligrosas. Por ejemplo, un usuario podría tener una billetera segura, pero perder sus fondos tras haber firmado una autorización ilimitada para un contrato fraudulento. Análisis: los desafíos El caso de los seis imputados por el drenaje de billeteras NFT desde Madagascar pone de relieve mecanismos económicos y financieros…