Te regalan u$s4.000, pero se quedan con tu plata: cómo es el "virus cripto" que ya afectó a ahorristas argentinos

Marcelo (43) es usuario frecuente de criptomonedas. Para ello, utiliza diferentes billeteras sin custodia y varias redes, como Ethereum, Binance Smart Chain (BSC), Polygon, Avalanche y Optimistic, entre otras.

Hace unos días, miró con asombro que un nuevo token de la red BSC se había agregado a su lista, sin que él haya comprado o pedido una transferencia. No sólo eso: tenía el equivalente a u$s4.000 en una nueva moneda llamada $GPTC, que hace alusión a ChatGPT, servicio que hoy es furor en las redes.

Entusiasmado por este "regalo del cielo", se dispuso a convertir esos activos a USDT: entró al exchange descentralizado Pancake Swap y pagó el gas (la comisión) correspondiente en BNB, token nativo de la BSC.

Pero sus cuentas de $USDT y $GPTC se mantuvieron sin cambios, en tanto que la de BNB tenía descontado el cargo de la operación. Fue uno de los tantos incautos que cayó en este gas scam (estafa de comisiones): el contrato inteligente de la moneda no hace más que descontarle el cargo y hasta podría haberle robado todo lo que tenía en la billetera.

Criptomonedas: cómo funcionan los "virus" cripto

Las billeteras sin custodia permiten acceder directamente a la blockchain usando una clave privada (serie alfanumérica de varios caracteres) o frase semilla (secuencia de entre 12 y 24 palabras).

Estos datos están encriptados: deben anotarse en papel y guardar en lugar seguro, pues si se extravían o se olvidan, se perderán los fondos y no habrá forma de recuperarlos.

En esto se diferencian de los exchanges, que ofrecen usuario y una contraseña que puede recuperarse como ocurre con cualquier otro servicio web. En este caso, abren una billetera cripto en nombre de ese usuario y mantienen en su poder las claves para que pueda operarse fácilmente desde su interfaz.

Las billeteras sin custodia mantienen la privacidad al no vincular identidades con fondos. Además, en las exchanges descentralizadas (DEX) se pueden adquirir tokens que recién arrancan valiendo centavos y beneficiarse de una suba de precios cuando sean listados en las exchanges centralizadas (como Binance o Coinbase). Si es que esto último ocurre.

"Con los monederos de auto custodia, el usuario tiene el control total sobre las claves privadas y es responsable de la seguridad de sus activos", advierten a iProUP desde Metamask, una de las apps de este tipo más utilizadas, que propone la siguiente analogía:

• "Una solución de custodia (exchange) es como un banco en el que se confía para mantener seguros los depósitos"

• "Un monedero de autocustodia es como una caja fuerte personal que el usuario tiene y es responsable de asegurar"

Nahuel Burbarch, representante argentino de la billetera sin custodia Zerion, alerta a iProUP que "recibir activos de los cuales uno jamás escuchó ni participó es un gran indicador de que estamos ante un posible token de spam".

"Antes de interactuar, conviene investigarlos por el nombre, ticker o su contrato inteligente en exploradores de blockchain como Etherscan, plataformas de indexación como Coinmarketcap o CoinGecko, y en Twitter", remarca el experto.

Santiago Cristóbal, cofundador de la plataforma Solow, destaca a iProUP que "la regla es desconfiar de cualquier regalo recibido y evitar absolutamente interactuar con activos que no se conocen".

Los contratos inteligentes de algunos tokens tienen funciones no deseadas, como el acceso a la billetera

"Si aparece una moneda que podría ser de un proyecto conocido, lo que recomiendo es primero ir al Twitter oficial del proyecto a verificar si efectivamente hubo un regalo y luego consultar con conocidos que esten en el ecosistema", remarca.

El problema aquí es aún más grave que comprar una shitcoin (moneda basura) que pueda no valer nada con el tiempo.

Ethereum y redes que imitan su funcionamiento (como Binance Chain, Polygon, Solana, Arbitrum y otras) ofrecen contratos inteligentes que permiten programar acciones en la blockchain. De esta manera, cualquier persona con cierto conocimiento puede crear un nuevo token con reglas específicas que se cumplirán en caso de que se produzcan determinados eventos.

En el caso de $GPTC, su smart contract esta diseñado no sólo para quedarse con la comisión que se abonó (algunos ahorristas perdieron varias decentas de dólares) sin ofrecer nada a cambio: al aceptar la transacción, un usuario desprevenido puede habilitarle el acceso a sus fondos y perder todos los tokens. Una especie de "virus cripto".

Criptomonedas: cómo protegerse de las estafas

Antes de invertir, los expertos recomiendan el tan mentado DYOR (siglas en inglés de "hacé tu propia investigación") sobre el proyecto en el que se basa la moneda. La principal herramienta son los indexadores como CoinMarketCap o Coingecko, que ofrecen –además de la cotización actual e histórica– diferentes datos para comenzar a indagar.

Quienes tengan fondos significativos pueden guardarlos en una billetera de hardware desconectada de Internet para evitar hackeos

El primero es el más simple de todos: los comentarios de los propios usuarios, que indicarán si su sentimiento es bullish (alcista) o bearish (bajista), pero primordialmente denunciarán si se trata de un scam. "Creo que el principal punto a tener en cuenta es entender de qué se trata el proyecto: como funciona, si tiene sentido o es una aplicación real", aconseja Burbach.

Cristóbal añade que "es vital ver el tiempo que lleva en el mercado y la presencia que tiene en las redes sociales, principalmente en Twitter. Si bien puede haber cuentas infladas artificialmente, una mayor presencia y antiguedad suelen indicar seriedad".

Así, al buscar una moneda en CoinMarketCap, es posible ver la la página web oficial. Si no la tiene, ya es una red flag para desconfiar. O si al acceder no ofrece un whitepaper, un documento que es una suerte "constitución", en la que se presenta la iniciativa, objetivos, etc.

Además, Cristóbal recomienda investigar ciertos datos que suelen estar en el sitio web de cada iniciativa:

• Ver el roadmap del proyecto y su visión

• Si los fundadores son anónimos, hay más riesgo de scam

• Comprobar si tienen partners importantes

• Verificar los últimos lanzamientos o mejoras del proyecto

Asimismo, en CoinMarketCap se pueden comprobar otros puntos vitales:

• Que los smart contracts están verificados (suele indicarse con el logo de una firma de auditoría cripto)

• El volumen transaccionado en los últimos tresmeses

Burbarch resalta no confiar en "algunos parámetros de CoinMarketCap o CoinGecko que pueden ser manipulados por el mercado, como la capitalización, sino hay que hacer un análisis en conjunto de todos los datos que brindan estas plataformas".

Educarse e investigar: quienes deseen invertir deben conocer cómo funcionan las cripto e interiorizarse sobre cada proyecto

Según el experto, "otro punto relevante es analizar la liquidez en mercados descentralizados como Uniswap, Sushiswap o Balancer, entre otros", lo que indicará qué tan fácil será desprenderse del activo, además de "verificar desde cuándo están cotizando los tokens".

Además, las billeteras sin custodia están ofreciendo herramientas para evitar estas estafas. "Una consiste en bloquear la interacción de los usuarios con dominios maliciosos conocidos. MetaMask gestiona esta lista y muchos colaboradores del ecosistema la actualizan", señalan desde la app, agregando que recibieron reclamos de 11.512 personas para denunciar 33.478 dominios.

"Trabajamos junto a PhishFort, que gestiona la lista de bloqueo que MetaMask utiliza y estamos investigando formas de incluir medidas antiphishing más proactivas. Reciementente, deshabilitamos el uso de un antiguo método de firma usado para robar activos", completan.

En en el caso de Zerion, Burbach indica que poseen una "fórmula de filtrado secreta para listar los tokens en la aplicación. Como no existe un filtro 100% infalible, cada activo puede ser reportado por los usuarios y en base a ello se procede a deslistarlos".

"Tenemos un sistema de verificación para cada proyecto: si la criptomoneda se encuentra en dos o mas listas de tokenlists.org, recibe una marca azul para indicar que la información provista por el activo es correcta, aunque no funciona como un consejo de inversión", remarca.

Desde Metamask recomiendan conectarse "a wallets de hardware externas para mayor seguridad de las personas que almacenan fondos significativos, ya que mantienen las claves privadas de manera offline separadas físicamente de los dispositivos conectados a Internet".

Por otra parte, Burbach remarca que "existe una tendencia a encontrar mayor cantidad de proyectos spam en redes con bajos costos de transacción como BSC o Polygon, aunque se prestar igual atención a todas a la hora de buscar un proyecto de inversión".

En este sentido, Cristóbal asegura que lo mejor será arrancar invirtiendo en Bitcoin y Ethereum, para luego ir explorando otras a medida que se vaya aprendiendo sobre el tema. Como siempre, la educación es la principal defensa para mantener las finanzas personales en modo "seguro".