## Chrome búsqueda de las principales estafas con carteras falsas: cómo utilizar blockchain para ocultar las palabras clave robadas

Los usuarios de criptomonedas enfrentan una amenaza oculta pero mortal: las extensiones de navegador disfrazadas cuidadosamente están ocupando los primeros lugares en las búsquedas en Chrome Web Store. Una extensión llamada "Safery: Ethereum Wallet" llegó a estar en el cuarto lugar en los resultados de búsqueda, con un aspecto lo suficientemente convincente como para engañar a la mayoría de los usuarios novatos. Los análisis de organizaciones de seguimiento de seguridad como Socket revelan una verdad sorprendente: esta herramienta de estafa utiliza la blockchain de Sui como canal secreto, codificando las palabras clave robadas en microtransacciones que parecen normales.

### Cómo una identidad falsa sofisticada evade la revisión de Chrome

La astucia de "Safery" radica en que no copia marcas conocidas como MetaMask o Phantom. En cambio, crea una identidad completamente independiente, con iconos limpios, descripciones de funciones legítimas y una gran cantidad de reseñas falsas de cinco estrellas. Este enfoque elimina las banderas rojas que suelen detectar las imitaciones tradicionales.

El algoritmo de clasificación en Chrome Web Store no puede hacer mucho contra esto. El sistema se basa principalmente en la coincidencia de palabras clave, el crecimiento en instalaciones, la velocidad de reseñas y la novedad en las fechas de carga. Cuando una nueva extensión recibe muchas reseñas en poco tiempo (en su mayoría repetidas y templadas), y los competidores actualizan lentamente, el algoritmo de navegador rápidamente eleva su posición en la lista. "Safery" aprovecha esta vulnerabilidad comprando o generando automáticamente reseñas falsas, y así escalar rápidamente en categorías de nicho sin competencia real.

El proceso de revisión de Google para nuevas extensiones sigue siendo débil. La mayoría de las veces, el sistema realiza escaneos automáticos breves y análisis estáticos básicos. Solo cuando la aplicación solicita permisos sensibles como acceso a pestañas, portapapeles, sistema de archivos o historial, se activa una revisión manual más estricta. Las aplicaciones de carteras suelen evitar estas revisiones ejecutándose en iframes o usando API aprobadas. "Safery" emplea la misma estrategia, solicitando permisos para "todos los sitios" (común en wallets descentralizados), sin pedir otros permisos sospechosos.

### Cómo se oculta el mecanismo de robo en transacciones de Sui blockchain

El verdadero delito ocurre en el momento en que el usuario ingresa la frase de recuperación. A diferencia de los troyanos tradicionales que envían información a servidores maliciosos, "Safery" adopta una estrategia más oculta: divide la frase en fragmentos, los codifica en direcciones de wallet aleatorias y oculta estos fragmentos en transacciones en la blockchain de Sui.

El proceso específico consiste en que la extensión envía transferencias de SUI con cantidades insignificantes, que no llaman la atención. La dirección controlada por el atacante actúa como receptor. Los fragmentos de la frase robada se disfrazan en notas de transacción o en direcciones confusas. Una vez en la cadena, los datos son visibles de forma permanente, y el atacante puede recuperarlos, recomponer la frase completa y vaciar la cartera sin necesidad de acceder al dispositivo de la víctima.

Este método tiene ventajas tácticas. La extensión no necesita enviar solicitudes a servidores externos, eliminando comportamientos de comando y control, y filtraciones por HTTP o WebSockets, lo que dificulta su detección por parte de navegadores y antivirus. La carga útil sale del dispositivo en transacciones que parecen normales en la blockchain de Sui, que tiene costos bajos y confirmaciones rápidas. En realidad, los estafadores usan la blockchain de Sui como un canal de comunicación invisible.

Socket ha rastreado varias de estas transacciones, confirmando la relación causal entre la entrada de la frase y la pérdida final de fondos. Aunque el robo de fondos puede ocurrir en Ethereum u otras cadenas de capa 1 donde se almacenan los fondos de las víctimas, toda la orden de ataque está oculta en datos públicos en la cadena.

### Debilidades estructurales en el sistema de clasificación de navegadores

El éxito de "Safery" revela vulnerabilidades profundas en la lógica de clasificación de Chrome Web Store. Los algoritmos de búsqueda dependen en gran medida de métricas cuantitativas: coincidencia de palabras clave, aumento en la actividad, curvas de crecimiento en calificaciones, etc., que son fácilmente manipulables mediante reseñas falsas y instalaciones coordinadas.

En categorías de wallets dispersas y con poca competencia, una aplicación recién lanzada con muchas reseñas puede subir rápidamente a los primeros lugares en unos días. Además, Google no realiza revisiones manuales sistemáticas de las nuevas extensiones, por lo que los estafadores solo necesitan probar en secreto sus técnicas antes del lanzamiento, asegurándose de no activar alertas en análisis estáticos o en entornos controlados.

Existe un retraso entre las denuncias de los usuarios y la eliminación de la extensión. Esto es estructural: Chrome no procesa inmediatamente las aplicaciones marcadas, a menos que exista un consenso abrumador o se detecten características conocidas de malware. La carga útil de "Safery" —JavaScript confuso y codificación en blockchain— evita los métodos tradicionales de detección de malware. Incluso si usuarios en Reddit y Telegram reportan comportamientos sospechosos, "Safery" puede mantener un alto ranking.

### Cómo los usuarios pueden identificar y protegerse

La protección efectiva requiere un enfoque en múltiples niveles. Antes de instalar cualquier extensión de criptomonedas, los usuarios deben realizar una lista de verificación: verificar el historial y la identidad del desarrollador, buscar patrones en las reseñas que muestren textos repetidos, confirmar si el sitio ofrece enlaces a repositorios públicos en GitHub, y revisar si la página de permisos contiene permisos ambiguos o excesivos.

Incluso si ya están infectados, los usuarios tienen una ventana de oportunidad para remedios. Desinstalar rápidamente la extensión, revocar todos los permisos de tokens, transferir activos a una cartera limpia en un dispositivo seguro, y monitorear las direcciones relacionadas — estos pasos pueden limitar las pérdidas. Pero para quienes no detectan a tiempo o almacenan grandes cantidades en carteras calientes, la recuperación de fondos es casi imposible.

### Soluciones a largo plazo a nivel de sistema

Los investigadores en seguridad llaman a Chrome a fortalecer la detección heurística, automatizando la marca de cualquier extensión que incluya UI para ingresar frases de 12 o 24 palabras. Otra recomendación es exigir a los desarrolladores de wallets que verifiquen su identidad, proporcionando pruebas verificables de control sobre repositorios de marcas conocidas. También es necesario un análisis más riguroso de permisos relacionados con wallets, incluso si no contienen modos de acceso peligrosos evidentes.

Los desarrolladores de wallets están reconsiderando sus estrategias de distribución. Algunos ya no recomiendan instalar desde Chrome Web Store, y en su lugar enfatizan aplicaciones móviles o clientes de escritorio. Otros implementan advertencias para usuarios que instalan desde fuentes no verificadas.

El incidente de "Safery" refleja una problemática fundamental: los canales de distribución son altamente dispersos, y la mayoría de los usuarios de criptomonedas no pueden distinguir eficazmente entre wallets legítimos y copias diseñadas cuidadosamente. El entorno del navegador es inherentemente de alto riesgo, susceptible a manipulaciones por extensiones, secuestro de sesiones, robo de portapapeles y ahora, filtraciones encubiertas de datos en blockchain. Cuando las carteras aprovechan vulnerabilidades en los algoritmos de clasificación para escalar en las búsquedas, los límites entre confianza y seguridad se vuelven borrosos. Un nombre limpio, altas calificaciones y apariencia oficial ya no son indicadores confiables. Los usuarios de criptomonedas deben entender que la promesa de autogestión en Web3 puede convertirse en un peligro completamente opuesto si se usan las herramientas equivocadas.