Se ha detectado una operación de fraude de criptomonedas denominada Operation ASTERIX, la cual utilizó herramientas de IA para programar un sistema avanzado de selección de víctimas. Mediante el procesamiento de listas masivas de números telefónicos, los atacantes combinaron correos de phishing, llamadas y software de billeteras falsas para atacar específicamente a personas con probabilidad de poseer activos digitales.

Se ha descubierto una operación de fraude de criptomonedas que utiliza herramientas de codificación de IA para convertir enormes listas telefónicas en un sistema de selección de víctimas mucho más preciso.

La campaña combinó verificaciones de cuentas, correos electrónicos de phishing, llamadas telefónicas y software de billeteras falsificadas para perseguir a personas con probabilidades de poseer activos digitales.

La operación, rastreada como Operación ASTERIX, expuso una visión inusualmente completa del espacio de trabajo de un estafador.

Su servidor contenía listas de contactos sin procesar, bases de datos de clientes potenciales, paneles de correo electrónico, herramientas de llamadas y aplicaciones falsas.

Analistas de Rapid7 identificaron la actividad tras encontrar un directorio web expuesto utilizado por los operadores.

Rapid7 señaló en un informe que la evidencia sugiere una operación dirigida en la que cada canal reforzaba al siguiente, haciendo que una aparente solicitud de soporte pareciera creíble.

El impacto va más allá de un simple señuelo de billetera robada. Al validar la propiedad de la cuenta antes del contacto, el actor podía evitar llamadas aleatorias y concentrar sus esfuerzos en personas con una probable conexión a un exchange o a una billetera de hardware.

Estafador de Cripto utiliza Claude Code

El servidor contenía alrededor de 885,000 números de teléfono de varias regiones, incluido un archivo con 316,002 números móviles alemanes. También contenía listas vinculadas a servicios financieros de Hong Kong, Bulgaria, el Reino Unido, EE. UU. y Canadá.

El operador utilizó herramientas de verificación de cuentas para comprobar si los números pertenecían a usuarios de plataformas de criptomonedas.

En un conjunto de datos alemán, las herramientas confirmaron 43,066 cuentas, aproximadamente el 13.6 por ciento de los 316,002 números verificados.

Esas coincidencias se convirtieron en perfiles más detallados con nombres, direcciones de correo electrónico, ubicaciones y detalles de la cuenta. Claude Code desempeñó un papel práctico en ese flujo de trabajo.

Los registros de sesión recuperados muestran al operador pidiéndole que limpiara y formateara un archivo de más de 100,000 números de teléfono polacos, añadiera prefijos de país y gestionara scripts de verificación conectados a grupos de proxies.

Los materiales expuestos mostraron que la IA se utilizó durante todo el desarrollo, y no solo para crear código aislado.

El patrón general refleja los ataques de instaladores falsos de Claude Code, donde páginas de documentación convincentes convierten las búsquedas rutinarias de software en una ruta para descargas maliciosas.

Los investigadores también descubrieron que el actor utilizó asistentes de IA para empaquetar aplicaciones Electron, modificar la infraestructura de phishing, solucionar problemas de compilación e intentar la ofuscación del código.

Cuando Claude se resistió a ayudar con partes del flujo de trabajo del malware de la billetera, el operador cambió a otro proveedor y envió un prompt de "jailbreak" personalizado diseñado para debilitar los controles de seguridad.

Las llamadas de phishing amplifican el robo de billeteras

Tras crear leads enriquecidos, el actor utilizó paneles de correo electrónico personalizados para generar casos de soporte y códigos de verificación falsos.

Una llamada de seguimiento podía citar los mismos detalles, dándole al llamador una forma persuasiva de suplantar al personal de soporte.

Esta técnica sigue el patrón familiar de las llamadas telefónicas que distribuyen malware, pero lo aplica al robo de criptomonedas.

El entorno de llamadas incluía Asterisk y scripts para marcación saliente. Los investigadores no recuperaron suficientes registros de llamadas para reconstruir cada interacción, pero un panel registró 20 búsquedas exitosas de leads y seis correos electrónicos de phishing durante aproximadamente dos semanas.

Esto apunta a una selección deliberada en lugar de llamadas masivas indiscriminadas. Las víctimas fueron dirigidas a aplicaciones falsificadas diseñadas como Trezor Suite, Ledger Live o Exodus.

El programa falso de Trezor esperaba a que se abriera la aplicación genuina, la cerraba y mostraba una pantalla de frase de recuperación idéntica.

Solicitaba una frase de 12, 18, 20 o 24 palabras y podía enviar el resultado, la contraseña y la dirección IP de la víctima a Telegram.

Un sitio falso independiente de Claude Code ofrecía un instalador troyanizado que desplegaba un clon oculto de Ledger Live antes de lanzar el instalador legítimo de Claude.

Este engaño por capas se asemeja a los anuncios maliciosos de Claude Code, que confían en instrucciones de configuración con apariencia confiable para lograr que los usuarios ejecuten comandos proporcionados por el atacante.

Debes tratar los correos electrónicos de soporte inesperados, los códigos de verificación y las llamadas de seguimiento como señales de advertencia relacionadas, no como pruebas independientes de legitimidad.

Los proveedores de billeteras y los exchanges no necesitan una frase de recuperación para asegurar una cuenta.

Descarga aplicaciones solo desde una fuente oficial verificada, confirma la identidad de un llamador a través de un canal de contacto obtenido de forma independiente y nunca pegues un comando de terminal proporcionado por un anuncio o una página web desconocida.

Estas precauciones también te ayudan contra los esquemas de entrega de billeteras falsificadas, donde una interfaz pulida oculta el robo de credenciales.

Fuentes:
https://cybersecuritynews.com/crypto-scammer-uses-claude-code/