Seguro que te ha pasado alguna vez. Estás navegando por Steam, buscando algo fresco para jugar el fin de semana, y de repente te topas con un juego indie con buena pinta, barato o incluso gratuito, que promete horas de vicio. Lo descargas, le das al «Play» y te olvidas. Pues bien, para unos cuantos cientos de usuarios, ese clic fue el principio del fin de sus ahorros en criptomonedas. La verdad es que da un poco de escalofrío pensarlo, pero un chaval de Florida de apenas 21 años ha conseguido levantar unos 220.000 dólares (que se dice pronto) usando precisamente este método.
No estamos hablando de un ataque sofisticado a los servidores de Valve, ni de una vulnerabilidad de día cero que requiera conocimientos de la NASA. Estamos hablando de ingeniería social pura y dura mezclada con un poco de código malicioso bien escondido. El FBI acaba de echarle el guante a este individuo, y el relato de cómo lo hizo es una mezcla de astucia digital y una torpeza humana casi cómica al final del camino. Porque sí, amigos, puedes ser un hacha programando malware, pero si luego te pides la cena con el dinero robado de forma rastreable, pues pasa lo que pasa.
Un esquema de dos años y un botín de seis cifras
La investigación apunta a que este joven no trabajaba solo. Formaba parte de un grupito que estuvo operando durante unos dos años. Imagínate la constancia: dos años subiendo juegos, actualizándolos y promocionándolos en redes sociales solo para esperar a que alguien con una billetera de criptomonedas jugosa cayera en la trampa. No fue un «golpe» de una noche, sino un trabajo de hormiguita, o más bien de parásito, que se fue alimentando de la confianza de la comunidad gamer.
Lo que hacían era simple pero efectivo. Implementaron código malicioso en ocho juegos diferentes. Una vez que instalabas el juego en tu PC, el malware se activaba discretamente en segundo plano. No te saltaba un aviso del antivirus (al menos no al principio), ni el ordenador se ponía lento. Simplemente, el programa se dedicaba a husmear en tus archivos locales, buscando específicamente las contraseñas guardadas en el navegador y los archivos de configuración de las carteras de criptomonedas. Vaya, que te estaban desvalijando la casa mientras tú intentabas pasarte el nivel tres de un juego de plataformas.
Los nombres propios del engaño: De Lunara a Lampy
Es importante poner nombres a estos «caballos de Troya» porque, aunque ya han sido eliminados de la plataforma, nos dan una pista de cómo operan estos grupos. Entre los títulos infectados se encontraban Lunara, PirateFi, BlockBlasters y Lampy. Si te fijas, son nombres que suenan a lo típico que encuentras en la sección de novedades de bajo presupuesto o juegos «Play-to-Earn» que tan de moda se pusieron hace un tiempo.
El caso de Lampy es especialmente sangrante y nos debería servir de lección a todos. Resulta que, en un principio, el juego era totalmente legítimo. No tenía malware. Los usuarios lo descargaron, jugaron y todo iba bien. Pero, en una de las actualizaciones posteriores, los desarrolladores (o el hacker en este caso) inyectaron el código malicioso. Esto es lo que en ciberseguridad llamamos un ataque de cadena de suministro a pequeña escala. Confías en el desarrollador porque el juego ya está en tu disco duro, le das a «actualizar» y, sin saberlo, le estás abriendo la puerta de tu sistema al atacante. Es una jugada maestra y bastante rastrera, la verdad.
La caza del «Whale»: Bots y redes sociales
Pero, ¿cómo sabían a quién atacar? No se lanzaron a ciegas. El grupo utilizaba bots para rastrear redes sociales y comunidades de criptomonedas en busca de posibles víctimas que presumieran de sus activos o que tuvieran perfiles que indicaran que poseían grandes volúmenes de Bitcoin o Ethereum. Una vez localizada la presa, promocionaban los juegos directamente en esos círculos. Es como si un carterista supiera exactamente quién lleva un fajo de billetes en el bolsillo y le invitara a entrar en un callejón oscuro con la excusa de enseñarle un truco de magia.
En España, donde la comunidad de jugadores es enorme y el interés por las criptos ha crecido una barbaridad en los últimos años, este tipo de ataques son especialmente peligrosos. Muchos usuarios aquí utilizan el mismo ordenador para jugar, trabajar y gestionar sus inversiones. Y claro, si tienes tus claves privadas o tus frases semilla guardadas en un bloc de notas en el escritorio o, peor aún, confías en el autocompletado de contraseñas de Chrome para entrar en Binance, se lo estás poniendo en bandeja de plata.
¿Cómo funciona realmente un «infostealer»?
Para los que os gusta saber qué pasa bajo el capó, vamos a destripar un poco cómo funcionan estos programas. Lo que este hacker distribuía era lo que técnicamente conocemos como un infostealer. No es un virus que quiera romper tu ordenador, es un espía silencioso.
Normalmente, estos scripts están escritos en lenguajes como C# o Python (compilados para que no sospeches) y su primera misión al ejecutarse es buscar el directorio de datos de usuario de los navegadores más comunes. Por ejemplo, en Windows, suelen ir directos a por:
%LocalAppData%GoogleChromeUser DataDefaultLogin Data
Ese archivo «Login Data» es una base de datos SQLite que contiene todos tus usuarios y contraseñas. Aunque están cifrados, el malware utiliza funciones de la API de Windows (como CryptUnprotectData) para descifrarlos en el momento, aprovechando que se está ejecutando con tus mismos permisos de usuario. Una vez que tiene el botín, lo empaqueta todo y lo envía a un servidor de control (C2) mediante una simple petición HTTP o incluso a través de un bot de Telegram. Es un proceso que dura milisegundos. Para cuando te has dado cuenta de que el juego ha arrancado, tus contraseñas ya están en un servidor en la otra punta del mundo.
En el caso de las criptomonedas, el malware busca extensiones de navegador como MetaMask o archivos de carteras frías como wallet.dat. Si el usuario no tiene una contraseña adicional para la clave privada dentro de la aplicación, el hacker tiene acceso total. Y si la tiene, el infostealer a menudo incluye un keylogger para registrar lo que escribes y pillarte la contraseña la próxima vez que intentes hacer una transacción.
El error fatal: Criptomonedas, tarjetas regalo y hamburguesas
Aquí es donde la historia se vuelve un poco surrealista. Tienes a un tipo que ha conseguido evadir los controles de seguridad de Steam (que no son moco de pavo, aunque tengan sus agujeros) y ha robado 220.000 dólares en Bitcoin de forma anónima. ¿Qué haces con ese dinero? Pues lo lógico sería intentar lavarlo a través de mezcladores (mixers) o pasarlo por plataformas que no pidan identificación. Pero nuestro protagonista decidió que tenía hambre.
El FBI consiguió rastrear los movimientos de los Bitcoins robados. Parte de esos fondos terminaron convirtiéndose en tarjetas regalo. ¿Y para qué se usaron esas tarjetas? Principalmente para pagar pedidos en Uber Eats. Sí, lo has leído bien. El rastro digital de las hamburguesas y las pizzas llevó a los agentes directamente a la puerta del sospechoso en Florida. Es el equivalente moderno a dejar un rastro de migas de pan, solo que las migas son recibidos de comida a domicilio pagados con dinero sucio. Al final del día, la tecnología puede ser muy avanzada, pero la estupidez humana sigue siendo el eslabón más débil de cualquier cadena, incluso para los criminales.
El ecosistema de Steam y la seguridad en España
Este caso pone sobre la mesa un debate necesario sobre la seguridad en plataformas como Steam. Desde que Valve introdujo Steam Direct, el proceso para publicar un juego se ha vuelto mucho más sencillo. Pagas una tasa, pasas unos controles básicos y tu juego está en la tienda. Esto es genial para los desarrolladores independientes españoles, que tenemos mucho talento en ciudades como Madrid, Barcelona o Valencia, pero también abre la puerta a que gente con malas intenciones se cuele en el sistema.
La verdad es que Steam hace un trabajo decente filtrando la mayoría de la basura, pero no son infalibles. Si un desarrollador decide volverse «malo» después de que su juego haya sido aprobado, como pasó con Lampy, es muy difícil detectarlo en tiempo real sin invadir la privacidad del usuario o monitorizar cada proceso del PC.
Para nosotros, los usuarios en España, esto significa que tenemos que dejar de ver a Steam como una «zona segura» absoluta. A menudo bajamos la guardia porque pensamos que, si está en la tienda oficial, es de fiar. Pero ojo, que el hecho de que algo sea legal no significa que sea seguro. Es como comprar en un mercadillo: la mayoría de los puestos son honrados, pero siempre puede haber alguien intentando colarte gato por liebre.
¿Cómo protegernos sin dejar de jugar?
No se trata de entrar en pánico y borrar Steam de tu ordenador. Se trata de ser un poco más «pillo» que el hacker. Aquí van unas cuantas recomendaciones que, aunque parezcan de perogrullo, te pueden salvar la cartera:
- No guardes contraseñas críticas en el navegador: Usa un gestor de contraseñas dedicado (como Bitwarden o 1Password) que tenga su propia capa de cifrado y que no sea tan fácil de leer para un script básico.
- Doble factor de autenticación (2FA) siempre: Y no me refiero al SMS, que es una castaña. Usa aplicaciones de autenticación como Google Authenticator o, mejor aún, llaves físicas tipo Yubikey. Si el hacker te roba la contraseña pero no tiene tu móvil o tu llave física, no puede hacer nada.
- Cuidado con los juegos «raros»: Si un juego tiene muy pocas reseñas, o las que tiene parecen escritas por bots, o te lo están intentando encasquetar por un mensaje directo en Discord o Twitter… desconfía. La curiosidad mató al gato, y en este caso, le vació la cuenta de Coinbase.
- Usa una «sandbox» o un PC dedicado si eres muy activo en cripto: Si manejas cantidades serias de dinero, no deberías usar el mismo ordenador para jugar a indies desconocidos que para gestionar tus finanzas. Suena exagerado, pero un portátil viejo con una distribución de Linux limpia para tus transacciones es la mejor inversión que puedes hacer.
- Ojo a los permisos: Si un juego sencillo de puzzles te pide permisos de administrador al instalarse, sospecha. No debería necesitarlos para nada.
La conclusión que saco de todo esto
Al final del día, este caso es un recordatorio de que el hacking moderno no siempre va de romper muros de fuego digitales, sino de aprovecharse de nuestra confianza y de nuestras ganas de probar cosas nuevas. El chaval de Florida ya está a buen recaudo, pero su técnica sigue ahí fuera, y habrá otros que intenten perfeccionarla (quizás sin pedir tanto Uber Eats para no dejar pistas).
Lo que me queda claro es que la seguridad total no existe. Vivimos en un ecosistema digital donde la comodidad suele ir reñida con la protección. Nos gusta que el navegador recuerde todo por nosotros y que los juegos se actualicen solos, pero esa misma comodidad es la que usan tipos como este para robarnos 220.000 dólares mientras estamos distraídos matando marcianitos. Así que, ya sabes, la próxima vez que veas un juego sospechosamente atractivo en Steam, párate a pensar un segundo: ¿vale la pena el riesgo por un juego de tres euros? Probablemente no.
Y por favor, si alguna vez te conviertes en un genio del mal y robas una fortuna en criptomonedas, al menos ten la decencia de no pedirte una hamburguesa con queso a tu nombre. Es que, de verdad, hay cosas que ni la mejor IA del mundo podría explicar.
Deja una respuesta