Ciberdelincuentes utilizan una falsa copia filtrada de GTA VI mediante una página web engañosa para robar criptomonedas a los usuarios.

Alerta por estafa de GTA VI para robar criptomonedas

• Los ciberdelincuentes están utilizando la enorme expectativa por el próximo lanzamiento de Rockstar Games para engañar a los usuarios. Según ha reportado Malwarebytes, ha surgido un sitio web fraudulento que simula ser un portal de fans, incluyendo elementos como un mapa de Leonida y un temporizador de cuenta regresiva.
• El objetivo real de esta página es distribuir una falsa copia filtrada del juego que, en realidad, contiene un software malicioso diseñado para sustraer activos digitales y criptomonedas de quienes intenten descargarla.

GTA VI se ha convertido en uno de los grandes cebos para los ciberdelincuentes, y la última campaña detectada alrededor del esperado juego de Rockstar es especialmente peligrosa. Malwarebytes ha localizado una página que aparenta ser un sitio creado por aficionados, con una cuenta atrás hasta el lanzamiento, un mapa de Leonida y abundante información real sobre el juego, pero que en realidad intenta convencer al visitante de que puede comprar una supuesta copia filtrada. El objetivo no es únicamente quedarse con los 50 dólares o 1 SOL que aparentemente cuesta esa versión: detrás de la página se esconde código diseñado para vaciar carteras de criptomonedas.

El engaño está construido con bastante cuidado porque mezcla información auténtica con afirmaciones falsas. La página muestra correctamente la fecha de lanzamiento del 19 de noviembre de 2026, menciona PlayStation 5 y Xbox Series X|S e incluso reconoce que Rockstar todavía no ha anunciado GTA VI para PC. Esa apariencia de legitimidad sirve para rodear de credibilidad las dos ofertas fraudulentas. La web llega incluso a advertir de que todas las demás páginas que prometen material filtrado son estafas y se presenta a sí misma como la única opción segura, una técnica bastante habitual para tranquilizar precisamente a quienes ya sospechan que algo no encaja.

Basta con mirar un poco más de cerca para encontrar contradicciones. El pie de página asegura que el sitio no ofrece compras, descargas ni pagos justo debajo de dos botones destinados precisamente a pagar. La sección de preguntas frecuentes promete además una descarga para PC mientras otra parte de la página reconoce que el juego solo está anunciado para consolas, y el texto llega a confundir GTA VI con GTA IV. Malwarebytes considera probable que alguien reutilizase una plantilla legítima de una página creada por aficionados y añadiese posteriormente el contenido destinado a ejecutar la estafa.

El funcionamiento del primer componente malicioso deja claro que el precio anunciado es únicamente un cebo. El código integrado directamente en la página está diseñado para atacar una cartera de Solana y, cuando consigue que el usuario apruebe la operación, no intenta cobrar el importe mostrado en la web. Primero consulta el saldo disponible, reserva únicamente una pequeña cantidad necesaria para cubrir la comisión de la transacción y prepara una transferencia con prácticamente todo lo demás. En otras palabras, una víctima que crea estar pagando por una falsa copia de GTA VI puede acabar autorizando el envío de casi todos los fondos contenidos en su wallet.

La página carga además un segundo script de unos 2,4 MB todavía más sofisticado. Este utiliza como base una herramienta legítima y ampliamente utilizada para conectar páginas web con carteras de criptomonedas, pero incorpora código malicioso capaz de inventariar los activos disponibles, calcular su valor y comunicar esa información al operador. Está preparado para trabajar con Ethereum, Polygon, BNB Smart Chain, Avalanche, Arbitrum, Base y Fantom, reconoce importantes stablecoins y puede preparar diferentes tipos de solicitudes destinadas a que la víctima autorice el movimiento de criptomonedas, tokens o incluso colecciones completas de NFT.

Eso permite que el robo se produzca de dos maneras distintas. Una transferencia puede sacar los activos de la cartera inmediatamente, pero una solicitud de aprobación o permiso puede ser incluso más traicionera: el usuario puede abandonar la página sin notar ninguna pérdida inmediata mientras el atacante conserva autorización para mover determinados tokens o NFT más adelante. Antes de solicitar esos permisos, el sistema analiza además cuánto vale la wallet y envía al operador información sobre su valor estimado en dólares, los tokens y NFT que contiene, la IP de la víctima, su país y el número de veces que esa cartera se ha conectado.

Detrás de la campaña parece haber además una infraestructura bastante profesionalizada. El código intenta detectar navegadores automatizados utilizados por investigadores de seguridad, silenciar mensajes de la consola del navegador, dificultar el uso de herramientas de desarrollo y ocultar las direcciones de sus servidores. Malwarebytes también encontró indicios de que el drainer podría ser un servicio alquilado, en lugar de una herramienta creada específicamente para esta estafa. Parte de su configuración y los identificadores del operador se descargan desde servidores remotos, lo que permite modificar el destino de los fondos sin tener que alterar directamente la página fraudulenta. GTA VI sería, por tanto, el cebo actual de una infraestructura que podría reutilizarse fácilmente con otros fenómenos populares.

Hay incluso una selección geográfica de víctimas. El script puede consultar la IP del visitante antes de pedirle que conecte su wallet y bloquear el acceso desde Armenia, Azerbaiyán, Bielorrusia, Kazajistán, Kirguistán, Moldavia, Rusia, Tayikistán, Turkmenistán y Uzbekistán. La función aparece identificada internamente como CIS_Protection. Evitar determinados países es una práctica conocida en algunas herramientas utilizadas por ciberdelincuentes, habitualmente interpretada como una forma de reducir la exposición frente a autoridades locales, aunque Malwarebytes advierte acertadamente que esta lista por sí sola no permite atribuir la campaña a un país o grupo concreto.

La forma más sencilla de evitar esta y otras campañas similares es recordar una realidad básica: nadie está vendiendo actualmente una copia jugable legítima de GTA VI. Rockstar ofrece reservas para su lanzamiento del 19 de noviembre a través de canales autorizados y no exige conectar una cartera de criptomonedas ni realizar transferencias a direcciones externas para comprar el juego. Conectar una wallet a una web tampoco basta por sí solo para vaciarla; el momento crítico llega cuando aprobamos posteriormente una transacción o concedemos permisos. Cualquier solicitud que pretenda mover prácticamente todo nuestro saldo o conseguir acceso permanente a tokens y NFT debe rechazarse inmediatamente.

El problema es que esta no es la primera estafa que aprovecha la expectación alrededor de GTA VI, y seguramente tampoco será la última. Malwarebytes ya había detectado en junio páginas que vendían un falso acceso anticipado por cientos de dólares en criptomonedas y, en agosto, sitios que prometían demos o supuestos contenidos inéditos para distribuir un infostealer. Ahora el siguiente paso es un drainer que puede intentar quedarse con prácticamente todo el contenido de una cartera. Cuanto más se acerque el lanzamiento, más rentable será utilizar el nombre de GTA VI como cebo, así que conviene mantener una regla muy sencilla: cualquier web que prometa jugar antes del 19 de noviembre debería levantar inmediatamente todas las alarmas.

Más información