Juego verificado de Steam robó $150.000 a gamers explotando la confianza de sus víctimas

Por
Elio Andrade
-
0
206
Juego verificado de Steam robó $150.000 a gamers explotando la confianza de sus víctimas

Lo que comenzó como un simple juego gratuito en la popular plataforma de videojuegos Steam se ha transformado en una de las estafas más frías y calculadas del mundo digital, dejando un rastro de destrucción financiera y moral, convirtiéndose de juego a pesadilla.

 

Bajo el inofensivo título de “BlockBlasters”, un juego de plataformas de apariencia sencilla, se escondía un sofisticado “criptodrenador” (o cryptodrainer) que vació monederos digitales, robando un total de 150.000 dólares a 261 jugadores de acuerdo a las investigaciones “onchain” realizadas por ZachXBT, quien fustigó a la plataforma Steam.

Entre las víctimas se encuentra una historia particularmente desgarradora: la de un streamer cuyas donaciones para un tratamiento contra el cáncer fueron drenadas en cuestión de segundos, dejándolo sin dinero para su tratamiento.

De hecho, esta historia comenzó a circular con fuerza, no por el total robado, sino por la devastadora pérdida de un solo individuo. Raivo Plavnieks, un streamer conocido en la comunidad por el alias de RastalandTV, estaba en medio de una campaña de recaudación de fondos para su tratamiento de sarcoma de alto grado en etapa 4.

Miles de dólares en donaciones de su fiel comunidad se encontraban en su monedero digital, un salvavidas en su lucha contra una enfermedad mortal, pero con la inocencia de un jugador que busca entretenimiento, Plavnieks descargó “BlockBlasters” de Steam, sin saber que su decisión lo dejaría financieramente quebrado.

 

Durante una de sus transmisiones en vivo, el juego, que ya había sido instalado y ejecutado en segundo plano, activó su componente malicioso. En un instante, los 32.000 dólares que tanto le había costado recaudar desaparecieron de su billetera digital.

Durante una de sus transmisiones en vivo, el juego, que ya había sido instalado y ejecutado en segundo plano, activó su componente malicioso. En un instante, los 32.000 dólares que tanto le había costado recaudar desaparecieron de su billetera digital.

La pérdida no fue solo de dinero, fue un golpe directo a su esperanza y a la generosidad de sus seguidores. La crudeza del robo, que se produjo aprovechando su vulnerabilidad, conmocionó a la comunidad digital y sirvió como una advertencia brutal sobre la naturaleza del fraude.

Es por esto, que el incidente ha sacudido los cimientos de la confianza en las tiendas online y ha puesto al descubierto la vulnerabilidad de los activos digitales cuando se combinan con la falta de escrutinio en plataformas masivas como Steam.

Aunque la historia de Plavnieks fue el detonante mediático, el criptoinvestigador ZachXBT reveló la verdadera magnitud del ataque. El caso del streamer no era un incidente aislado, sino un eslabón en una cadena de 261 víctimas que, de manera combinada, perdieron una asombrosa suma de 150.000 dólares.

La clave del éxito de este esquema residía en el uso de un “criptodrenador” (o cryptodrainer), un tipo de software malicioso diseñado para robar claves de acceso a criptomonedas. A diferencia de los ataques tradicionales, este programa no necesitaba una acción explícita del usuario para iniciar el robo de fondos.

El juego “BlockBlasters” era un caballo de Troya en sí mismo con una fachada legítima que había sido verificada y publicada en la plataforma de Valve, con el verdadero propósito era ejecutar un código en segundo plano que realizaba un escaneo silencioso en el sistema del usuario.

En primer lugar, la Puerta de Entrada al equipo, era sencilla, ya que el propio usuario descargaba el juego, confiando en el sello de verificación de Steam. Una vez instalado, el juego se comportaba de manera normal al inicio, sin levantar sospechas.

Sin embargo, una vez instalado y ejecutado, el código malicioso buscaba archivos asociados con monederos de criptomonedas populares, que literalmente, funcionaba como un escáner silencioso, que no buscaba solo las criptomonedas en sí, sino las “llaves” que las protegen, como las claves privadas o las frases de recuperación (conocidas como semillas).

Lo siguiente es la exfiltración, que se produce al encontrar estas claves dentro del ordenador de la víctima, el software las enviaba de forma encubierta a un servidor controlado por el atacante, sin que la víctima lo notara.

La parte final del proceso de robo, llegaba cuando el atacante tenía en su poder las claves, podía acceder al monedero de la víctima desde cualquier lugar del mundo y transferir los fondos, vaciando la cartera en minutos.

Obviamente, el incidente ha desatado un debate sobre la responsabilidad de las plataformas digitales en la seguridad de los productos que alojan. Steam, siendo uno de los mercados de videojuegos más grandes y confiables del mundo, tiene un proceso de verificación para evitar precisamente este tipo de ataques.

Sin embargo, en este caso, el criptodrenador logró pasar desapercibido a los controles del equipo de Steam, por lo que tras la denuncia pública y la investigación de la comunidad, Valve, la empresa detrás de la plataforma, actuó de forma contundente, eliminando el juego “BlockBlasters” y vetando de manera permanente al desarrollador, identificado como “Dmitry D” y que se presume que es un argentino que vive en Miami, Florida.

A pesar de la rápida respuesta, el daño ya estaba hecho en las billeteras de los jugadores, pero Valve se abstuvo de compensar a las víctimas, argumentando que el riesgo de descargar software de terceros es una responsabilidad del usuario, una postura que ha generado controversia, dado que se supone que ellos verificaron el videojuego internamente.

Este caso sirve como una dolorosa lección para los usuarios y la industria, ya que mientras los desarrolladores de malware se vuelven cada vez más sofisticados, las plataformas deben reforzar sus defensas y sus procesos de verificación.

Por otro lado, la confianza de los usuarios no debe ser ciega o total y se debe revisar todo ejecutable que se instala en su dispositivo, venga de donde venga. Mientras que, este tipo de empresas que gestionan videojuegos, deben entender que la confianza de los usuarios es su activo más valioso, y un incidente de esta magnitud pone en riesgo toda la credibilidad del ecosistema y por ende, la fiabilidad de Steam como plataforma de videojuegos.

En Territorio Bitcoin, brindamos a los usuarios (gamers que interactúan con criptomonedas y videojuegos) los siguientes consejos para proteger adecuadamente el ordenador y no poner en riesgo sus fondos.

  • En primer lugar, la mejor defensa es la prevención.

Se debe investigar antes de descargar cualquier ejecutable y no fiarse ciegamente de los juegos gratuitos, incluso en plataformas verificadas. Se debe siempre buscar y leer reseñas de usuarios, investigaciones de seguridad y comentarios en foros.

  • Segundo, se deben utilizar carteras frías (cold wallets) para almacenar grandes sumas de criptomonedas

Entendiendo que “cualquier monto superior a $500 es considerado alto”, por lo que es recomendable usar dispositivos de hardware que mantienen las claves privadas fuera de línea.

  • En tercer lugar, se debe limitar la exposición de la “cold wallet”,

Evitando tener grandes cantidades de criptomonedas en carteras que se encuentran en el mismo ordenador que se usa habitualmente para jugar, para navegar o para hacer actividades cotidianas en Internet.

  • Siempre es necesario considerar utilizar un sistema operativo o un equipo dedicado exclusivamente para el almacenamiento y las transacciones de cripto.

Si por casualidad el videojuego exige el uso de una wallet para jugar, se puede utilizar una cuyas frases semilla estén fuera del equipo y de paso, no tener más de 10 dólares almacenados en esa billetera.

  • Como cuarto punto, es imperativo mantener el software debidamente actualizado, tanto a nivel del sistema operativo, como de los navegadores, los programas y demás aplicaciones instaladas en el ordenador.

En el caso de Windows, con mantener actualizado el equipo, se pueden detectar y bloquear muchos de estos ataques, aunque no son seguros frente a “ataques de día cero”.

El caso de “BlockBlasters” es un recordatorio sombrío de que el mundo digital, con todas sus comodidades, también es un campo de batalla para estafadores sin escrúpulos, una estafa que no fue solo sobre dinero, fue sobre la explotación de la confianza, una traición que le costó a un hombre su esperanza de pagar su tratamiento contra el cáncer y a cientos de personas, sus ahorros.

Advertencia "La inversión en criptoactivos no está regulada, puede no ser adecuada para inversores minoristas y perderse la totalidad del importe invertido"