Dentro de la máquina: cómo actúan los estafadores de criptomonedas
Secuestrar Bing y DuckDuckGo

Los dos vectores de ataque

Nuestra investigación reveló que dos operaciones paralelas y completamente diferentes que se ejecutan simultáneamente para situar los sitios de phishing en los primeros puestos de los resultados de Bing y DuckDuckGo.

Vector A: El ataque de inyección en la página de resultados de búsqueda de Yahoo

Podría decirse que este es el el más elegante desde el punto de vista técnico Ataque de SEO «black-hat» que hemos documentado en 2026. Este ataque aprovecha una falla fundamental en la forma en que Bing evalúa la autoridad de los enlaces; concretamente, su incapacidad para distinguir entre enlaces editoriales auténticos y páginas de resultados de búsqueda generadas dinámicamente a partir de dominios de confianza.

La puntuación de autoridad heredada de Yahoo (AS 24) se transmite a través de las páginas de búsqueda móvil hacia dominios de phishing; Bing acepta esta señal como legítima.

El mecanismo: paso a paso

Paso 1 — Generación de la URL del operador de confianza. Los atacantes crean direcciones URL en los puntos finales de búsqueda móvil de Yahoo a través de múltiples subdominios internacionales: no.search.yahoo.com (Noruega), fr.search.yahoo.com (Francia), mx.search.yahoo.com (México), pl.search.yahoo.com (Polonia), gr.search.yahoo.com (Grecia), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (francés suizo), co.search.yahoo.com (Colombia). Estas páginas incluyen la puntuación de autoridad heredada de Yahoo: 23-24.

Paso 2 — Insertar el enlace de phishing. Cada URL contiene una consulta de búsqueda totalmente aleatoria e inocente —«pele+fifa», «Jean-Paul+Sartre», «Radio+Stars», «jucheck.exe»—, pero el texto de enlace dice: curvefi.co Curve Finance. Las consultas aleatorias garantizan que los filtros antispam no detecten ningún patrón.

Paso 3 — Rastreo e indexación forzados. Los atacantes obligan a Bingbot a rastrear estas URL mediante servicios de ping masivo, inyecciones de comentarios en foros y blogs, y herramientas de activación automática del rastreo.

Datos sin procesar de SEMrush — curvefi.co

La brutal ironía: La página web cuenta con cero palabras clave orgánicas, cero tráfico en la base de datos de SEMrush; sin embargo, aparece en los resultados de Bing/DDG para «Curve Finance» gracias a la autoridad prestada por Yahoo.

Vector B: La red coordinada PBN

Aquí es donde la investigación se vuelve realmente alarmante. Cinco sitios web de phishing distintos — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at y keplr.me — todos comparten un conjunto idéntico de fuentes de enlaces entrantes. No es una coincidencia. Esto es una única operación delictiva organizada llevar a cabo varias campañas de phishing desde una misma infraestructura.

Un operador, 9 donantes de PBN, 5 víctimas de phishing: la probabilidad de que esto sea una coincidencia es de aproximadamente el 0,00001 %.

La prueba irrefutable: infraestructura compartida

Perfiles de dominios de phishing

La «granja de artículos» impulsada por IA

La variante aster-dex.at utiliza un enfoque híbrido, combinando la técnica de «injection» de Yahoo con contenido de blogs generado por IA y publicado en sitios web comprometidos o creados expresamente para este fin en Vietnam, Italia, Indonesia y Suiza.

Artículos generados por IA en sitios web comprometidos: títulos idénticos, dominios diferentes, todos con enlaces al mismo destino de phishing

Todos los artículos del blog tienen títulos casi idénticos: «Por qué los intercambios de tokens y los fondos de liquidez siguen planteando dificultades incluso a los operadores de DEX más experimentados», «Por qué los creadores de mercado automatizados siguen sorprendiendo a los operadores». Estos son Artículos generados por IA ubicadas en sitios web con los números AS 21–36, todas ellas enlazadas a aster-dex.at.

Infiltración de spam en los comentarios

keplr.me adopta un enfoque totalmente diferente: puro spam en los comentarios de sitios web de gran autoridad que no guardan relación alguna con el tema. Nombres de usuario falsos como «ZackaryThymn», «Fritzkah» o «Jamesboach» insertan enlaces a carteras de criptomonedas en sitios web dedicados a la enseñanza de la filosofía (filozofija.edu.rs, AS 45), plataformas de compromiso de los empleados (bavave.com, AS 63), y festivales artísticos (lea-festival.com, AS 50).

Sitios web legítimos que, sin saberlo, alojan enlaces de phishing —ocultos entre comentarios de usuarios que parecen normales—

Lo peor de lo peor: spam de herramientas automatizadas

bscscan.cfd utiliza el método más burdo posible: paquetes de enlaces entrantes comprados al por mayor procedentes de sitios web que se llaman, literalmente, rankongoogle.agency y linksjump.click. Todas las fuentes tienen AS = 0. El TLD «.cfd» es un indicador conocido de spam. Sin embargo, en Bing, incluso esto funciona en parte: el volumen de enlaces de baja calidad puede influir en el posicionamiento de dominios totalmente nuevos que no tienen antecedentes negativos.

«1000 enlaces entrantes por 9,99 $»: las herramientas de SEO fraudulentas más baratas siguen funcionando, al menos en parte, en Bing

Por qué Bing y DuckDuckGo son especialmente vulnerables

La defensa contra el spam de Google, basada en múltiples capas, frente a la detección menos avanzada de Bing: la brecha que aprovechan los estafadores

Estrategia de segmentación por palabras clave

Los perfiles de palabras clave revelan precisión quirúrgica en la selección de objetivos. Los operadores no solo se centran en los términos principales de la marca, sino también en los «typosquats» («monedero rabínico», «cartera Rubby», «dexscrenner») e incluso consultas en chino («Bolsa Aster» (puesto n.º 25).

Orientación multilingüe: inglés, francés, chino y vietnamita; la operación abarca varios continentes

Contexto histórico: El problema de Trust Wallet y DuckDuckGo

Aunque Trust Wallet haya dejado de utilizar DDG como opción predeterminada, la vulnerabilidad subyacente sigue existiendo. Cualquier usuario que elige manualmente DuckDuckGo por motivos de privacidad — un grupo demográfico que coincide en gran medida con el de los usuarios de criptomonedas — sigue estando expuesto hoy en día a estos mismos ataques. Las operaciones fraudulentas documentadas en este informe han estado utilizando variantes de esta técnica desde varios años, adaptándose a medida que los motores de búsqueda van corrigiendo poco a poco los vectores individuales.

Cómo protegerse

• NUNCA Conecta tu monedero desde un resultado de búsqueda
• Añadir a favoritos sitios web legítimos directamente
• Utiliza DDG’s !bang atajo: !g curve finance activa la búsqueda en Google
• Instala la extensión de MetaMask para la detección de phishing
• Comprueba cualquier dominio en PhishDestroy antes de conectarse

Recomendaciones para Microsoft/Bing

1. Detección dinámica de páginas: Clasificar las páginas de resultados de búsqueda (Yahoo, Baidu, Google) y eliminar la autoridad de los enlaces salientes
2. Detección coordinada de PBN: Cuando 9 dominios enlacen a 5 sitios web diferentes con patrones idénticos, marcarlo como manipulación.
3. Capa de suplantación de marca: Detectar ataques de sustitución de TLD (dexscreener.at ≈ dexscreener.com)
4. Supervisión de dominios .AT: Mayor control de los dominios .at recién registrados en los resultados de búsqueda relacionados con las criptomonedas
5. Guía rápida de DuckDuckGo: Crear una API específica para la eliminación de spam a la que DDG pueda acceder directamente

Las pruebas son públicas. Los dominios están documentados. Las víctimas son reales. La solución está en manos de Microsoft.

Un operador. 26 enlaces de phishing en Bing. Precio: 2 dólares por dominio.

Un operador, 26 dominios, un registrador

Realizamos consultas RDAP en los 26 dominios de phishing. Todos y cada uno de ellos indicaban el mismo registrador: NiceNIC International Group Co., Limited. No la mayoría. No la mayoría. Se han consultado correctamente los 23 de 23 — El mismo registrador, con tres errores de limitación de velocidad antes de la verificación (sus patrones de infraestructura coinciden).

23 de 23 comprobados. El mismo registrador. El mismo cliente. Ninguna medida por abuso.

Datos de registro del RDAP — Justificante de registro por lotes

La guía de los 2 dólares: paso a paso

Olvídate del SEO sofisticado. Olvídate de meses de creación de enlaces. Aquí tienes la secuencia de acciones completa y contrastada que te permite aparecer en el primer puesto de los resultados de Bing.

Cuatro pasos, 2 dólares, y Bing corona como número uno a una página de phishing

Paso 1: Registro de «typosquats»

Paso 2: Clonar la etiqueta de título (0 $, 5 minutos)

El operador copia exactamente el <title> etiqueta y meta descripción de la página web del proyecto real. Este es el paso más importante de todos. La página en sí es una estafa para vaciar carteras o para robar frases de semillas, pero <title> es lo que posiciona Bing.

Paso 3: Enviar a la red PBN oculta (0 $, 1 minuto)

El operador visita cualquiera de las 15 sedes de PBN (bye.fyi, atomizelink.icu, etc.), escribe el dominio en un campo titulado «Introduce tu URL» y hace clic en «Acortar». Con un solo clic se crea una página en los 15 sitios web a la vez, ya que comparten una misma base de datos.

Paso 4: Esperar (2-8 semanas, 0 $)

Desglose del coste total

El funcionamiento del motor de camuflaje

Hemos obtenido y analizado el código fuente HTML real de la red PBN. Todas las páginas de todos los dominios utilizan el mismo motor de cloaking.

Lo que ven los usuarios frente a lo que ve Bingbot: el z-index: 1000000 La pared esconde 3.500 enlaces

Estructura de la página: 400 KB de HTML, más de 3.500 enlaces, 4 capas

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Prueba: una red, una base de datos

orbit-protocol-lending.net aparece en varios dominios de la red PBN con ID secuenciales de la misma base de datos:

Una base de datos. 15 dominios front-end. Todas las pantallas muestran el mismo contenido desde el mismo back-end.

Los mismos identificadores en diferentes «marcas» = un único sistema de fondo, un único operador. 15 dominios. La misma plantilla HTML. El mismo CSS (style.css). El mismo código JavaScript (work.js). Las mismas páginas de 3.500 enlaces.

La segunda PBN: Red de comprobación de dominios

Una red de enlaces independiente y más agresiva proporciona enlaces de retroceso «dofollow» a destinos seleccionados. Servidor principal: all-aged-domains.com — una instalación de WordPress 6.6.2 que proporciona archivos CSS, JS y plantillas a entre 50 y 80 dominios satélite.

Por qué Bing cae en la trampa

El robot blindado de Google bloquea el phishing en la entrada. El simpático portero de Bing mantiene la puerta abierta.

La vulnerabilidad del combate por el título

app.thnuster.cc tiene exactamente UN enlace entrante: una página de resultados de búsqueda de Yahoo almacenada en caché. Ocupa el primer puesto en Bing para la búsqueda de «Thruster Finance». Esto demuestra que el posicionamiento de Bing para las búsquedas de marcas con baja competencia se basa principalmente en:

1. Coincidencia exacta de la etiqueta de título a la consulta de búsqueda
2. El dominio está indexado (cualquier señal —incluso un enlace «nofollow»— es suficiente)
3. No hay señales de desconfianza (El dominio es nuevo y tiene un historial impecable)

Google exigiría señales de autoridad sustanciales y realizaría una comprobación cruzada con los dominios de marcas conocidas. Bing no lo hace.

Resultados n.º 1 de Bing (verificados a través de SerpAPI, abril de 2026)

Lista de protección actualizada (marcas de la Parte II)

Recomendaciones (Parte II)

A Microsoft/Bing:

1. El mero hecho de disputar un combate por el título no confiere autoridad. Un título coincidente no debería hacer que un dominio nuevo ocupe el primer puesto en las búsquedas relacionadas con la marca. Es necesario que el dominio tenga cierta antigüedad, autoridad en los enlaces entrantes o señales de verificación de la marca.
2. Detectar el cloaking basado en CSS. Las páginas que utilicen superposiciones con «z-index» que oculten el contenido a los usuarios pero lo muestren a los rastreadores deben señalarse.
3. Detectar redes PBN coordinadas. Que 15 dominios compartan un mismo backend que enlaza con los mismos destinos no constituye una estrategia de creación de enlaces orgánica.
4. Marcar los dominios registrados en NiceNIC en los resultados de búsqueda de criptomonedas para un control más exhaustivo.
5. Crear una vía rápida para el spam en DuckDuckGo. DDG hereda todas las vulnerabilidades de Bing, pero no cuenta con un mecanismo independiente para denunciar el spam.

A NiceNIC International Group Co., Limited:

A Cloudflare:

Los 26 dominios utilizan el DNS y el proxy de Cloudflare. Estos dominios alojan programas de vaciado de monederos y de recolección de frases de semillas a través de la infraestructura de Cloudflare.