Un programa malicioso muestra una pantalla falsa dentro de apps reales de billeteras cripto para robar la frase de recuperación

Qué ocurrió

Un programa malicioso llamado OkoBot lleva activo en computadoras Windows desde abril de 2025 y sigue operando en julio de 2026, según un reporte de Kaspersky. Se instala principalmente a través de software pirata descargado de sitios no oficiales o de repositorios falsos en GitHub que se hacen pasar por herramientas legítimas. Una vez dentro del equipo, uno de sus módulos, llamado SeedHunter, vigila si la víctima abre las aplicaciones oficiales de las billeteras de criptomonedas Ledger o Trezor. Cuando eso ocurre, se inserta dentro de la propia aplicación y muestra una ventana falsa, con el mismo diseño que la real, pidiendo escribir la frase de recuperación (seed phrase): la combinación de palabras que funciona como llave maestra de todos los fondos guardados en la billetera.

Quién está expuesto

Personas que usan billeteras de hardware Ledger o Trezor conectadas a una computadora Windows que pudo haberse infectado, especialmente quienes instalaron programas piratas o descargaron software de sitios no oficiales, incluyendo repositorios falsos en GitHub.

A considerar

Ledger y Trezor coinciden en algo: ninguna de las dos billeteras pide escribir la frase de recuperación completa en una pantalla de computadora. Ledger indica que esa frase nunca debería salir del dispositivo físico. Trezor advierte que nunca solicita escribirla manualmente en ningún lugar. Si aparece una ventana pidiendo esto, sin que el dispositivo físico lo confirme en su propia pantalla, es un ataque en curso, no un procedimiento legítimo.

Impacto potencial

Quien escribe su frase de recuperación en la ventana falsa entrega el control total de su billetera al atacante, quien puede vaciarla de inmediato. A diferencia de un fraude bancario, no existe banco ni institución que pueda revertir la operación: la pérdida de fondos en criptomonedas por este medio es irreversible.

Leer fuente original →