Nuevo drenaje por phishing a una ballena

El 12 de agosto de 2026, una ballena cripto anónima perdió aproximadamente 25,6 millones de dólares en un ataque de phishing en Ethereum, tras firmar transacciones maliciosas que entregaron al atacante el control de una gran posición multiactivo. El analista on-chain Specter fue el primero en señalar el drenaje, y la firma de seguridad PeckShield rastreó los activos robados hasta cuatro carteras recién creadas. En un giro llamativo, la misma cartera ya había sido víctima de phishing por unos 24 millones de dólares en septiembre de 2023, lo que convierte a su propietario en una rara víctima recurrente de ataques de ingeniería social casi idénticos.

Qué ocurrió

El atacante se llevó un abanico de tenencias de primer nivel —incluidos WBTC, cbBTC, LDO, USDS y CRV—, con las mayores líneas individuales reportadas en torno a 6,3 M USD en aWBTC, 5,1 M USD en DAI, 4,7 M USD en bitcoin envuelto y 2,6 M USD en ETH. Como es habitual en las operaciones de drenaje, las ganancias se consolidaron rápidamente y se intercambiaron por activos líquidos y difíciles de congelar —unos 20 millones de DAI y alrededor de 3.000 ETH— para complicar el rastreo y preparar el blanqueo. Ningún contrato inteligente fue vulnerado: la pérdida se derivó por completo de que la víctima aprobó o firmó transacciones presentadas por una interfaz o solicitud de aprobación maliciosa, un patrón que se ha industrializado en kits de "wallet drainer" como estafa como servicio.

Consecuencias

A diferencia del incidente de 2023 en esta misma cartera —en el que el estafador terminó devolviendo cerca del 90 % de los fondos—, ninguna de las ganancias de agosto de 2026 se había recuperado al momento de la publicación, y el estado sigue siendo robado. El robo se produjo en un tramo especialmente intenso: los rastreadores de seguridad contabilizaron más de 37 millones de dólares en pérdidas durante la semana, junto con el exploit de acuñación no autorizada de Harmony y otros incidentes. PeckShield e investigadores independientes siguieron vigilando las cuatro direcciones controladas por el atacante en busca de movimientos hacia mezcladores o exchanges.

Por qué importa

Este drenaje subraya que la mayor superficie de ataque para los grandes tenedores es su propia firma, no un fallo de protocolo. Recuerda al caso Whale Hunter's Payday de 2024, en el que una ballena anónima perdió 55 M USD en DAI ante una página de phishing de Inferno Drainer. Que exactamente la misma cartera fuera víctima de phishing con éxito dos veces, con dos años de diferencia, es una dura lección de seguridad operativa: una posición on-chain grande y transparente es un objetivo permanente, y las defensas son bien conocidas pero de adopción desigual —verificación de calldata con cartera de hardware, acceso a dApps solo mediante marcadores, simulación de transacciones y separación estricta entre carteras de almacenamiento y de interacción. Sin esos hábitos, el saldo de una ballena es en la práctica una valla publicitaria para las bandas de drenaje.