Encontramos 70 sitios web que se hacen pasar por proyectos de criptomonedas legítimos e invitan a los visitantes a votar sobre la fecha de una próxima distribución de recompensas.
Las páginas imitan fielmente el aspecto de los sitios web reales, y en la mayoría de ellas la oferta es pequeña y creíble: emite un voto y, como votante activo, obtendrás un aumento de 1,25x cuando se paguen las recompensas.
Sin embargo, la votación es falsa y al hacer clic en el botón "Votar ahora" se abre una solicitud de conexión de billetera. Este es el primer paso hacia solicitudes que podrían engañar a los visitantes para que autoricen el acceso a sus tokens.
Entre las marcas que se están copiando se encuentran xStocks de Kraken, Pendle, Zama, Kinetiq, Yield Basis, Firelight y plataformas más pequeñas como Umia, Keeta y NetNet. Ninguna de estas páginas está afiliada a los proyectos que imitan.
Copias de marcas conocidas
Cada sitio es una copia casi idéntica del proyecto al que apunta, incluyendo el logotipo, los menús y los colores. La copia de Firelight incluso incluye un anuncio real sobre el límite de depósito del protocolo, lo que sugiere que las páginas se copiaron de los sitios web originales en lugar de reconstruirse desde cero.
La mayoría utiliza la misma redacción sobre votar en la fecha de recompensas para obtener una bonificación, aunque algunos varían el mensaje. El texto de Pendle añade fechas falsas y una cuenta regresiva para crear urgencia, el de Keeta promete puntos en lugar de una bonificación, y el de NetNet omite la votación y advierte que los tokens no reclamados se quemarán después de 48 horas.
¿Por qué estas marcas?
La selección de objetivos no parece ser aleatoria. Varios de los proyectos suplantados han realizado lanzamientos de tokens, airdrops o ventas públicas de tokens en el último año. Otros gestionan programas de puntos o recompensas. Sus comunidades están acostumbradas a oír hablar de recompensas, reclamaciones y asignaciones, y están preparadas para actuar en consecuencia.
Zama realizó una subasta pública de tokens en enero, y su token comenzó a cotizar en febrero. Kinetiq lanzó su token de gobernanza junto con un airdrop para los primeros usuarios en noviembre de 2025. La subasta de tokens de Umia se llevó a cabo del 29 de agosto al 2 de septiembre, hace apenas unas semanas. Firelight otorga puntos a los primeros depositantes, y Pendle se lanzó en Robinhood Chain el 4 de septiembre.
Un mensaje sobre recompensas de uno de estos proyectos no resultaría extraño para alguien que lo sigue. El señuelo parece diseñado para atraer a quienes ya poseen el token o han utilizado el protocolo, ya que son quienes podrían esperar una distribución y desear una mayor participación.
¿Qué sucede cuando haces clic en votar?
El botón "Votar" no lleva a una papeleta de votación. Abre una ventana de Connect Wallet que es la misma independientemente de la marca que imite la página. Muestra WalletConnect, MetaMask, Trust Wallet, OKX Wallet, Binance Wallet, Bitget Wallet y Rabby, además de la opción de explorar más de 28 opciones adicionales.
Esta ventana se asemeja a las indicaciones de conexión que la gente ve en los sitios web de criptomonedas legítimos, lo que puede hacer que la solicitud parezca rutinaria.
Al conectar una billetera, se comparte su dirección, lo que permite al sitio consultar sus fondos. Sin embargo, esto no le otorga al sitio permiso para gastar tus tokens.
El daño suele provenir de lo que el sitio web solicita a continuación. En las estafas de vaciado de monederos, una página puede, tras la conexión, pedir que se firme un mensaje o se apruebe una transacción, presentándose como una confirmación de la acción que el visitante desea realizar. Una aprobación o firma maliciosa puede dar al atacante permiso para retirar tokens del monedero sin más confirmación.
Por lo general, las transacciones en blockchain no se pueden revertir, por lo que los fondos robados son muy difíciles de recuperar.
Signos de una sola operación
Varios detalles sugieren una operación compartida o un kit de phishing. Todos los dominios que aparecen al final de este artículo siguen el mismo patrón: sitemu seguido de una serie de caracteres aparentemente aleatorios, en el .xyz dominio de nivel superior.
Las mismas plantillas se reutilizan en varias marcas, y el texto aparece casi idéntico, independientemente de si la página se presenta como Zama, Firelight o Yield Basis; incluso el valor del boost se escribe como 1,25x , con una coma en lugar del punto decimal. La ventana de conexión de la billetera, ubicada detrás del botón de Votar , también es idéntica en todas las marcas.
Los nombres de dominio aleatorios le ahorran al operador el trabajo de crear una dirección similar y convincente para cada marca, y la pérdida de un solo sitio les supone un coste mínimo. Además, hacen que la barra de direcciones sea uno de los elementos más reveladores de estas páginas.
Cómo proteger tu cartera
Antes de conectar tu billetera, verifica cualquier voto o distribución de recompensas a través de los canales oficiales del proyecto. Un logotipo familiar es fácil de copiar.
- Comprueba la dirección, no el diseño. Estas páginas son una copia exacta de las originales, por lo que la marca por sí sola no garantiza su autenticidad. Si el dominio no es el que usa oficialmente el proyecto, cierra la pestaña.
- Acceda directamente al proyecto. Si un voto o una recompensa es legítimo, aparecerá en el sitio web oficial del proyecto o se anunciará en sus redes sociales. Guarde la página en sus marcadores o escriba la dirección directamente en lugar de seguir un enlace de un mensaje, anuncio o respuesta.
- Lee atentamente lo que te pide firmar tu billetera. Para votar, no deberías tener que aprobar el gasto de tus tokens. Si una solicitud de firma o transacción menciona aprobaciones, permisos o transferencias, recházala. Las billeteras que muestran una vista previa del resultado de una transacción pueden ser útiles, pero no apruebes una solicitud que no entiendas.
- Ten cuidado con los potenciadores, las bonificaciones y los plazos límite. Las promesas de recompensas adicionales y las advertencias de que los tokens no reclamados se quemarán pueden presionarte para que actúes sin comprobarlo.
- Mantén la mayor parte de tus fondos en una billetera separada. Usa una billetera con un saldo pequeño para sitios web desconocidos y guarda tus inversiones a largo plazo en una billetera que no uses para esas conexiones.
- Si ya te conectaste, desconéctate del sitio. Si también firmaste un mensaje o aprobaste una transacción, usa la función de gestión de aprobaciones de tu billetera o un verificador de aprobación de tokens confiable para revisar y revocar permisos sospechosos. Desconectarse por sí solo no revoca las aprobaciones de tokens. Si sospechas que tu frase de recuperación o clave privada se vio comprometida, transfiere los fondos restantes a una nueva billetera creada con una nueva frase de recuperación.
Cómo Malwarebytes ayuda
Malwarebytes Browser Guard puede bloquear sitios web de phishing y estafas conocidos antes de que interactúes con ellos. Esto resulta útil en campañas como esta, donde la página falsa se parece mucho a la real.
Si recibes un enlace para votar por recompensas, reclamar premios o participar en un airdrop y tienes dudas, Malwarebytes Scam Guard puede ayudarte a evaluar el enlace antes de conectar tu billetera. Consulta también la oferta a través de los canales oficiales del proyecto.
Indicadores de compromiso
sitemufl06qs0r4o[.]xyzsitemui6m6bbj1bd[.]xyzsitemui8go6g99bb[.]xyzsitemuicitd4jrtr[.]xyzsitemuidkr38kji0[.]xyzsitemuidlij5urd0[.]xyzsitemuif3pa5k4eh[.]xyzsitemuife3h91vjj[.]xyzsitemuioeefbyh3i[.]xyzsitemuioi7005ekb[.]xyzsitemuizkhpdbjnv[.]xyzsitemuj1xencnin8[.]xyzsitemuj7lzbasipw[.]xyzsitemujbcz1nas1x[.]xyzsitemujdi54aitrf[.]xyzsitemujejvp4tp0x[.]xyzsitemujffobdhxgj[.]xyzsitemuji07m137aw[.]xyzsitemujoqrmsm0et[.]xyzsitemujrfn7witew[.]xyzsitemujsm7brhwh0[.]xyzsitemujtcvh5q9fj[.]xyzsitemujtd8ingh2b[.]xyzsitemujtdkvy6c7n[.]xyzsitemujufht1ntj4[.]xyzsitemujufs1975v4[.]xyzsitemujug76lkyke[.]xyzsitemujumvtmjaf1[.]xyzsitemujuncdlpnng[.]xyzsitemujuno47vpud[.]xyzsitemujunzgjapds[.]xyzsitemujw19idqe01[.]xyzsitemujw1uspghl1[.]xyzsitemujwcvm5ufu8[.]xyzsitemujxjlv2lmhh[.]xyzsitemuk3jcm1olr8[.]xyzsitemuk3jpe1eph7[.]xyzsitemuk3z1hh2tvn[.]xyzsitemuk3zjrr2ufy[.]xyzsitemuk3zu5776gi[.]xyzsitemuk6zd201nsw[.]xyzsitemuk7f31386dx[.]xyzsitemuk7fi1dcrp4[.]xyzsitemuk7fvnvihra[.]xyzsitemuk7xbyszpzj[.]xyzsitemuk7y434m4om[.]xyzsitemuk7yi5eqn74[.]xyzsitemuk7ys6db9qj[.]xyzsitemuk9ayiwadjz[.]xyzsitemuk9c4oppeco[.]xyzsitemukh5awm67rj[.]xyzsitemukpy2hpmpwv[.]xyzsitemukrod1am6ez[.]xyzsitemukvxv7j5hmv[.]xyzsitemukvy7wudsqb[.]xyzsitemukww7ivnaji[.]xyzsitemukwxih8302f[.]xyzsitemul94tcv4l80[.]xyzsitemul95f18sowo[.]xyzsitemul95pxqgmm8[.]xyzsitemulaay8dbm66[.]xyzsitemulaucnbmnrd[.]xyzsitemulffos1qryn[.]xyzsitemuli8pd7qi9z[.]xyzsitemulpmt6if530[.]xyzsitemulpnff7964j[.]xyzsitemulpo7jkntfz[.]xyzsitemulr9d1dg77r[.]xyzsitemuls00qrsh0k[.]xyzsitemulszq4rm2yn[.]xyz
