Un kit de estafa listo para usar, con un precio de $500, se está vendiendo en un foro de ciberdelincuencia, permitiendo a compradores con mínima experiencia técnica lanzar preventas fraudulentas de tokens $TSLA y vaciar las billeteras de criptomonedas de cualquiera que participe. Tesla no ha emitido ningún token de criptomonedas, lo que significa que cualquier oportunidad de inversión que afeme lo contrario es intrínsecamente fraudulenta.

El hacker comercializa el fraude como un producto completo

El kit se atribuye a una cuenta del foro que usa el alias "xrep", la cual ha estado activa en el underground de la ciberdelincuencia desde marzo de 2026 y ha recibido reseñas positivas de otros miembros del foro.

Los investigadores describieron el producto como "una estafa completa en una caja". El paquete incluye infraestructura de alojamiento, páginas de phishing, un panel de inversión fabricado y capacidades de seguimiento de víctimas. La mercantilización de las herramientas de fraude significa que los individuos ya no necesitan habilidades de programación ni contactos en el underground para lanzar estafas de criptomonedas sofisticadas, ampliando significativamente el grupo de potenciales malos actores.

Los investigadores de seguridad de Malwarebytes descubrieron la estafa el 16 de mayo. La página fraudulenta de preventa muestra el nombre y el logotipo de Tesla, presentándose como una oportunidad exclusiva de inversión temprana dirigida a los usuarios de X. El sitio opera en múltiples idiomas y funciona tanto en dispositivos móviles como en computadoras de escritorio. El uso de preventas de tokens como señuelo es particularmente efectivo porque los proyectos legítimos de criptomonedas sí realizan rondas de preventa, lo que hace que las ofertas fraudulentas sean más difíciles de distinguir para los inversores casuales frente a las oportunidades genuinas.

Cómo funciona la estafa

El ataque comienza solicitando el nombre de usuario de X del visitante bajo el pretexto de una "verificación de elegibilidad". Luego, la página muestra la foto de perfil real del usuario, creando la impresión de que la oferta fue seleccionada específicamente para él.

El esquema aprovecha el FOMO — el miedo a quedarse fuera — mediante una barra de financiamiento que se llena progresivamente, un temporizador de cuenta regresiva y advertencias que afirman un inminente aumento de precio.

La primera opción de inversión anuncia un bono del 15% por vincular una billetera. Posteriormente, un formulario solicita la frase de recuperación de 12 palabras del usuario, lo que permite al operador vaciar completamente las billeteras de criptomonedas. Los servicios legítimos de criptomonedas nunca solicitan una frase de recuperación bajo ninguna circunstancia, ya que estas frases otorgan control total e irreversible sobre el contenido de una billetera.

Una "inversión" alternativa omite el paso de conexión de la billetera y, en su lugar, dirige a las víctimas a enviar Bitcoin, Ethereum, USDT o Dogecoin a una dirección controlada por el operador de la estafa. Posteriormente, a las víctimas se les muestra un saldo de cuenta falso.

El panel de control permite el seguimiento de víctimas en tiempo real

El panel de control incluido aumenta significativamente el nivel de amenaza del kit. Permite a los operadores monitorear a las víctimas mientras navegan por el sitio, registrar nombres de usuario de X y ubicaciones geográficas, y recolectar las frases de recuperación ingresadas en la página de phishing. Los operadores pueden evaluar si una billetera contiene fondos suficientes antes de atacarla.

El panel también permite a los operadores inflar artificialmente los saldos mostrados a demanda, llevando a las víctimas a creer que su inversión se está revalorizando y alentándolas a realizar depósitos adicionales. Si un usuario ya ha realizado un pago, el panel puede generar un mensaje solicitando una tarifa de red complementaria.

Actividad relacionada de estafas de criptomonedas

El 3 de agosto, el IRS emitió una advertencia de que los estafadores estaban enviando cartas físicas por correo a los poseedores de criptomonedas, dirigiéndolos a un falso "Portal de Cumplimiento de Activos Digitales" diseñado para imitar el sitio web oficial IRS[.]gov, con la intención de robar las credenciales de las billeteras. La agencia confirmó que dicho portal no existe.

En mayo, Cryptopolitan informó que los estafadores estaban enviando cartas impresas a los propietarios de dispositivos Ledger promocionando una falsa "Actualización de Seguridad de Resistencia Cuántica" que utilizaba códigos QR para obtener mediante phishing las frases de recuperación de 24 palabras. La convergencia del phishing por correo físico con el objetivo de criptomonedas refleja una evolución más allá de las estafas puramente digitales, ampliando la superficie de ataque para incluir a inversores que pueden estar alerta en línea pero menos sospechosos de la correspondencia impresa.