Ataques de social engineering: 3 tipos de scams impersonando customer service, KOL y official

Recibes un DM en Twitter: “Soy customer service de Gate.io, tu cuenta tiene una anomaly y necesita verificación” — proporcionas la información y tus activos son stolen. No fue careless, fue un ataque de social engineering — scammers利用 tu trust en authority para steal información.

3 tipos de scams de social engineering

1. Impersonando customer service

Scammers se hacen pasar por customer service de exchange/wallet y te DM diciendo que tu cuenta tiene anomaly/ganó premio/necesita verificación.

Prevención: Customer service oficial nunca te DM proactivamente. Para cualquier problema, busca channels de customer service en el website oficial.

2. Impersonando KOL

Scammers crean cuentas con nombres similares a KOLs conocidos, publican fake操作 recommendations o fake links.

Prevención: Verificar si la cuenta tiene mark de verificación. No obtener操作 recommendations desde DMs.

3. Impersonando official

Scammers se hacen pasar por官方 de proyecto/exchange, publican fake公告, fake airdrop links, fake customer service.

Prevención: Solo obtener información de Twitter/Discord/website oficial. No操作 desde links en DMs o group chats.

La psicología detrás de los ataques de social engineering

Scammers利用 3 psicologías:

• Trust en authority: Confías en “customer service""official”
• Sense de urgencia: No tienes tiempo para判断 cuidadosamente antes de actuar
• Greed: Al ver “beneficio gratis” actúas impulsivamente

Principios core de prevención

1. Official nunca te DM proactivamente
2. Cualquier DM que urge operación es scam
3. Solo obtener información de channels oficial
4. No操作 desde links en DMs/group chats
5. Con cualquier duda, primero confirmar en website oficial

Conclusión

El core de ataques de social engineering:利用 tu trust en authority y sense de urgencia para steal información. Core de prevención: Official no DM, urgencia = scam, solo obtener información de channels oficial.

Más métodos prácticos en Demon Trading

Sistema completo de clasificación de ataques de social engineering

Además de los 3 tipos básicos, hay variantes más complejas:

1. Impersonando project team para ataque de governance: Scammers se hacen pasar por miembros del team del proyecto, proponen “emergency governance change” en la comunidad → Fabrican sense de urgencia → La comunidad vota hastily → En realidad es提案 malicioso → Fondos del proyecto transferidos.

En 2022 Beanstalk fue atacado de esta forma: El attacker借用 flash loan para obtener大量 Tokens para votar通过提案 malicioso → $182M stolen.

2. Impersonando institución legal: Scammers envían documentos legales falsificados → “Tu trading de cryptocurrency es sospechoso de violación de ley, por favor coopera con investigación” → Tienes miedo → Proporcionas información personal y wallet → Stolen.

3. Impersonando team de seguridad de exchange: “Tu cuenta de Gate.io tiene risk de seguridad, verifica inmediatamente” → Proporcionan fake link → Ingresas account y password → Cuenta stolen.

4. Impersonando conocido/amigo: Scammers通过 stealing cuentas de social media impersonan tu amigo → “Necesito dinero urgentemente, transfiéreme un poco de cryptocurrency” → Ayudas con buena intención → Estafado.

5. Impersonando recruiter: “XX blockchain company hiring remote position” → Necesitas “test contract” → En realidad es deploy malicious contract o autorizar phishing contract → Tus activos stolen.

Construcción psicológica de defensa contra social engineering

Defender contra social engineering requiere cultivar hábitos psicológicos específicos:

Habit 1: Questionar authority Cualquier información que声称 viene de “official""customer service""institution legal” debe ser verificada primero → No confiar solo porque sounds authoritative.

Método de verificación: Buscar channels de customer service en website oficial para confirmar → No obtener任何 información de customer service desde DMs.

Habit 2: Rechazar urgencia Cualquier información que fabrica sense de urgencia, esperar 24 horas para冷静 → No actuar impulsivamente por “限时""urgent""ahora mismo”.

99% de sense de urgencia es artificialmente fabricado → Official real no te hará panic → Lo que te hace panic casi siempre es scam.

Habit 3: Estar alerta ante “gratis” Cualquier cosa de “alto valor obtenida gratis” debe ser cuestionada → Almuerzo gratis siempre tiene un costo背后 → El costo puede ser la seguridad de tus activos.

Habit 4: Confirmar identidad Cualquier persona que声称 es “customer service""KOL""amigo” debe ser身份 confirmada primero → Verificar身份 de对方通过 otros channels (no el DM mismo).

Habit 5: Confiar en intuición: Si alguna información te hace sentir “algo no está bien” → Confía en tu intuición → No ignore tus dudas solo porque “看起来专业” → Intuición往往是 correcta.

Manejo de emergencia después de ataque de social engineering

Si ya has sido scammed por un ataque de social engineering:

1. Evaluar scope de pérdidas:

• Solo泄露 información personal? → Risk medio → Monitorizar anomaly en cuentas -泄露了 passwords? → Modificar todos los passwords inmediatamente
• Ingresaste mnemonic phrase? → Risk extremadamente alto → Transferir todos los activos a dirección nueva inmediatamente
• Autorizaste malicious contract? → Revocar autorizaciones y transferir activos restantes

2. Emergency stop-loss:

• Revocar todas las autorizaciones sospechosas (Revoke.cash)
• Modificar todos los passwords relacionados
• Transferir activos restantes a dirección nueva
• Cerrar cuentas que可能 han sido compromised

3. Reportar y追踪:

• Reportar situación de scam en la exchange
• Reportar scam en Discord/comunidad para ayudar otros a evitar
• Preservar所有 evidencia (chat records, transaction records, contract address)

4. Reflexionar y mejorar:

• Analizar causa de ser scammed (qué psychological weakness fue exploited)
• Mejorar hábitos de seguridad (qué pasos de verificación agregar)
• Actualizar medidas de seguridad (agregar 2FA, usar wallet dedicada etc.)