Esta investigación documenta TrustWalletPanel — una sofisticada operación de phishing que se hacía pasar por Trust Wallet a través del dominio de backend tttadmin.com. Se presenta como candidato a 14 meses (Enero de 2025 – febrero de 2026), la operación se dirigió a usuarios de criptomonedas a través de un chat de asistencia falso, sustrayéndoles frases de semilla y exigiéndoles depósitos bajo el pretexto falso del «cumplimiento de la normativa de la OFAC» y la «sustitución de activos». Las 1 900 conversaciones de las víctimas se obtuvieron a través de una vulnerabilidad crítica de tipo IDOR. Se ha revelado la identidad del operador principal.
Cómo funciona la estafa: flujo del ataque
La operación sigue un proceso de cinco fases cuidadosamente diseñado para sacar el máximo provecho de cada víctima:
Fase 1
Descubrimiento — Las víctimas encuentran el dominio de phishing a través de grupos de Telegram, estafas románticas (personaje «Sofía») o resultados de motores de búsqueda
Fase 2
Cartera falsa — Una página web de phishing imita la interfaz de Trust Wallet y captura la frase mnemotécnica y la contraseña durante el proceso de «creación de monedero»
Etapa 3
Desencadenante del chat en vivo — Los intentos de retirada fracasan deliberadamente; el operador del chat aparece como «Soporte técnico de Trust Wallet»
Etapa 4
Ingeniería social — Los operadores alegan que se han congelado sus activos debido a infracciones de las normas de la OFAC y contra el blanqueo de capitales, y exigen depósitos en criptomonedas a modo de «reemplazo» o «verificación».
Etapa 5
Extracción repetida — Exigencias continuas de pagos adicionales, con tácticas para crear urgencia y presión por los plazos
Pérdidas económicas: principales pérdidas confirmadas
↔
ID del chat
Importe
Activo
Contexto
#1795
197 000 USDT
TRON (TRC-20)
Tomado prestado de mi exmujer
#481
~45,77 ETH
Ethereum
Depósitos múltiples
#965
~16 000 USDT
USDT
Ingresos sucesivos
#720
8 000 USDT
TRC-20
Traslado de un solo día
#1090
5.839 USDT
USDT
Madre soltera, pérdida confirmada
#1430
~3.686 USDT
USDT
Dos depósitos distintos
#92
3.340,23 USDT
USDT
Importe exacto confirmado
#1089
0,3201 BTC
Bitcoin
Desde el monedero físico Ledger
Es probable que los daños reales sean mucho mayores
Se trata de datos facilitados por los propios interesados, extraídos de registros de chat, que no han sido verificados. Muchas víctimas nunca comunicaron las cantidades. La rotación de monederos hace que sea imposible calcular los totales en la cadena de bloques sin un seguimiento completo de la misma.
Miembros del equipo identificados en los registros de chat
👤
Lyokha / Alexey
Operador principal de chat
👤
Dima
Operador (Chat n.º 92)
👤
Maksim
Operador (Chat n.º 446, 201 mensajes)
👤
Andrey
Operador (Chat n.º 579)
👤
Aleksander
Responsable de selección de personal en Telegram
👤
Sofía
Perfil de seducción en las estafas románticas
Tácticas de ingeniería social
↔
Táctica
Mensajes
Descripción
Suplantación de identidad de Trust Wallet
1,905
Haciéndose pasar por el servicio de asistencia oficial de Trust Wallet
Reclamaciones por bloqueo o congelación de monederos
360
Afirman que la cartera ha sido bloqueada debido a «actividad sospechosa»
Ofertas de sustitución de activos
305
Prometiendo «reembolsar» los activos congelados tras el ingreso
Amenazas de sanciones de la OFAC
210
Afirmaciones falsas sobre sanciones del Tesoro de EE. UU. contra una cartera digital
Exigencias de depósito para el desbloqueo
185
Exigir un depósito en criptomonedas para «desbloquear» el monedero
Ofertas falsas de staking
161
Grupos de staking con APY personalizados en el panel de administración
Acusaciones relacionadas con la lucha contra el blanqueo de capitales y la financiación del terrorismo
66
Acusar a las víctimas de blanqueo de capitales
La ironía
Estafadores de habla rusa que se dirigen a víctimas de habla rusa (el 51 % de los chats son en ruso) con amenazas de Sanciones de la OFAC del Tesoro de EE. UU. — un mecanismo regulador que no tiene en cuenta la ubicación geográfica de sus víctimas. Ingeniería social basada en plantillas, en lugar de una comprensión contextual.
La infraestructura del panel de estafas estaba plagada de vulnerabilidades que facilitaban enormemente la extracción completa de datos:
11 Puntos finales de API sin autenticación
# IDOR - enumerate all 1,900 chats by sequential ID POST /chat/get → Transcripción completa del chat, sin autorización# Returns latest victim session data POST /session/get → Se ha filtrado la frase mnemotécnica y la contraseña# Inject messages into any victim chat POST /message/save → No se requiere autenticación# Create fake victim sessions POST /session/init → Guarda las frases de semilla# Full system config POST /system/get → swap_percent, status_support# All token/network config (174KB) POST /red/get → Datos completos de la red POST /token/info/get/all → Precios en tiempo real de CoinMarketCap POST /stake/get/all → Configuraciones de los grupos de staking# Admin login - no rate limiting POST /admin/sign-in → Fuerza bruta ilimitada
IDOR en /chat/get
Se pueden consultar las 1.900 conversaciones sin necesidad de autenticarse
Mapas de origen al descubierto
Se han recuperado 339 archivos fuente (3,4 MB)
Configuración incorrecta de CORS
Refleja cualquier origen con credenciales
Sin limitación de frecuencia
Intentos ilimitados de ataque por fuerza bruta en el inicio de sesión de administrador
Funcionalidades del panel de administración (análisis del código fuente)
Se recuperaron 339 archivos fuente a partir de los mapas fuente de producción expuestos (main.3924229a.js.map). El panel cuenta con:
Gestor de carteras
Ver/editar todos los monederos de las víctimas con frases mnemotécnicas
Chat en directo (encuesta de 1 s)
Chat en tiempo real con las víctimas bajo el nombre de «Soporte técnico de Trust Wallet»
Control de transacciones
Modificar el estado, introducir transacciones falsas
Grupos de staking
Tipos de interés anual (APY) personalizados, períodos de bloqueo y rendimientos falsos
Se ha detectado actividad de investigación de terceros
Se ha encontrado una carga útil de shell inverso en el chat n.º 1
Se ha detectado una carga útil de shell inverso codificada en Base64 inyectada a través del servicio sin autenticación /message/save punto final en 6 de mayo de 2025 — aproximadamente 10 meses antes de esta investigación. Esto indica que las vulnerabilidades pudieron ser explotadas públicamente durante un largo periodo de tiempo y que otro investigador las descubrió mucho antes que nosotros.
Cronología de la operación
Enero de 2025
Aparecen las primeras sesiones de las víctimas (845 mensajes). Infraestructura en direcciones IP de Moscú.
Mayo de 2025
Un investigador externo descubre una vulnerabilidad IDOR e inyecta una carga útil de shell inverso
Noviembre de 2025
Pico de actividad: 959 mensajes en un solo mes. Se han renovado los certificados SSL.
Febrero de 2026
Se ha emitido el último certificado. La operación sigue activa y se siguen creando nuevas sesiones.
1 de marzo de 2026
Se ha publicado la investigación sobre PhishDestroy. Se han extraído y analizado las 1.900 conversaciones.
Recomendaciones para los usuarios
Nunca compartas frases de semilla a través del chat, el correo electrónico o cualquier otro canal de atención al cliente: Trust Wallet nunca te pedirá esos datos
Comprobar los datos de contacto del servicio de asistencia exclusivamente a través de los canales oficiales de Trust Wallet
Reconocer las amenazas relacionadas con la OFAC y la lucha contra el blanqueo de capitales como pretextos habituales de estafa: los servicios legítimos no bloquean las carteras a través del chat
Denunciar dominios de phishing al equipo de seguridad de Trust Wallet y PhishDestroy
Utiliza carteras de hardware para la firma de las operaciones de retirada, con el fin de evitar transferencias no autorizadas
Comprobar el estado del monedero a través del historial de transacciones de la cadena de bloques, y no a través de ninguna interfaz de «asistencia»
Informe técnico completo con los registros de chat
Datos completos de la investigación, incluyendo todas las transcripciones de los chats, las direcciones de los monederos, el análisis de los operadores y las visualizaciones interactivas
