Kit de herramientas «Crypto Drainer»: lo que hay detrás de los revendedores de «Angel Drainer» que tienen en el punto de mira tu monedero

La cadena de ataque en 9 pasos: del airdrop falso al monedero vacío

Todos los «drainers» de criptomonedas siguen una secuencia predecible. Lo que hace peligrosas las operaciones de «drainer como servicio» no es la innovación, sino su magnitud. La misma cadena de ataque se replica en docenas de dominios, cada uno de los cuales constituye una nueva trampa para víctimas desprevenidas. A continuación se muestra, paso a paso, la secuencia exacta extraída del código fuente de TRXDrop.

Análisis en profundidad de TRXDrop: código generado por IA con más de 30 instrucciones de depuración en producción

TRXDrop es un distribuidor de Angel Drainer que tiene como objetivo los monederos de TRON y Solana. Lo que distingue a esta operación no es su sofisticación, sino todo lo contrario. El código fuente revela indicios inconfundibles de un desarrollo asistido por IA: estructura repetitiva, comentarios prolijos y, lo más revelador, más de 30 console.log instrucciones de depuración que se han dejado en el código de producción.

Estas no son las señales de un desarrollador con experiencia. Son las señales de alguien que pidió a un modelo de lenguaje grande (LLM) que escribiera un «drainer» y desplegó el resultado sin revisarlo.

Clave de cifrado XOR

Todas las comunicaciones entre la interfaz de usuario de Drainer y el panel de administración se cifran con una clave XOR predefinida: TRX_SECURE_2024_PANEL_KEY. La operación XOR con una clave estática es fácilmente reversible, lo que constituye otro indicio de un desarrollo basado en «copiar y pegar».

Uso indebido de WalletConnect

ID del proyecto WalletConnect fbf5b42d9006502246e73447f5d50e33 está integrado en los más de 15 dominios. Una sola revocación de este identificador de proyecto desactivaría simultáneamente la conectividad de los monederos en toda la red TRXDrop.

50 reintentos forzados

El bucle de solicitud de firma realiza 50 intentos antes de permitir que la víctima salga. Esta táctica de presión psicológica está programada de forma fija y no puede ser configurada por los afiliados; se trata de una característica fundamental del kit Angel Drainer.

30 Comisión TRX

Cada robo que se lleva a cabo con éxito genera una comisión de 30 TRX que se envía a la cartera del operador. A los tipos de cambio actuales, esto supone aproximadamente entre 7 y 8 dólares estadounidenses por víctima, un margen reducido que sugiere que la operación se basa más en el volumen que en el valor.

Infraestructura de dominios de TRXDrop (más de 15 dominios)

NiceCrypto: La máquina de comisiones del 80 %

NiceCrypto se basa en una premisa sencilla: ofrecer a los afiliados la comisión más alta del mercado de los «drainers», y ellos se encargarán de atraer a las víctimas. Con una comisión del 80 %, NiceCrypto ofrece el reparto de comisiones para afiliados más generoso que hemos documentado en cualquier operación de «drainer como servicio». El operador se queda solo con el 20 %, un margen minúsculo que solo es viable a gran escala.

Las cuentas son sencillas. Si un afiliado vacía un monedero que contiene 1.000 dólares en tokens, se queda con 800 dólares. NiceCrypto se queda con 200 dólares. Con más de 8.454 dólares en pagos a afiliados documentados, la operación ha procesado un mínimo de 42.270 dólares en fondos robados, y esa cifra solo tiene en cuenta los pagos que podemos observar directamente en la cadena de bloques.

717Team: Archivado = Disruption Works

717Team es la prueba de que estas operaciones pueden detenerse. Con 125 miembros y 85 monederos rastreados, 717Team era una operación de «drainer» de tamaño medio que gestionaba más de 12 dominios de phishing. El total confirmado de fondos sustraídos, 2.946,25 dólares, puede parecer modesto en comparación con operaciones de mayor envergadura, pero lo realmente importante es el resultado: archivado.

En nuestro sistema de seguimiento, «archivado» significa que la operación se ha visto interrumpida hasta el punto de cesar por completo. Se han retirado los dominios. Se ha destruido la infraestructura. Se ha identificado al administrador. 717Team no cerró voluntariamente. Se cerró gracias a una serie coordinada de denuncias, retiradas de dominios y al intercambio de información con socios especializados en seguridad de cadenas de bloques.

Anti-análisis: presente, pero fácil de eludir

TRXDrop utiliza dos técnicas de anti-análisis que forman parte del repertorio habitual de herramientas de los «drainers». Ambas están diseñadas para dificultar una inspección superficial. Ninguna de ellas supone un obstáculo significativo para un analista con experiencia.

Este patrón se repite en todo el ecosistema de «drainer-as-a-service». Los desarrolladores de los kits (en este caso, Angel Drainer) cuentan con auténticas habilidades técnicas. Los distribuidores y afiliados que implementan estos kits, sin embargo, a menudo carecen de ellas. La capa antianálisis no existe porque los operadores entiendan de investigación en seguridad, sino porque el kit se suministra con ella activada por defecto.

Pruebas e inteligencia de fuentes

Todas las pruebas a las que se hace referencia en esta investigación se conservan en el repositorio PhishDestroy ScamIntelLogs. Cada operación cuenta con su propio directorio, que contiene archivos de configuración, fragmentos de código fuente, listas de dominios, direcciones de monederos e información de Telegram.