El atraco de $245 millones de dólares en Bitcoin que terminó en un complot de secuestro
En agosto de 2024, tres hombres de entre 18 y veintitantos años llamaron en frío a un residente de Washington, D.C. haciéndose pasar por el soporte técnico de Google y lo engañaron para que les entregara las credenciales que controlaban cuatro mil cien Bitcoins con un valor de doscientos cuarenta y cinco millones de dólares. En cuestión de semanas, se habían gastado millones en Lamborghinis, ropa de diseñador y mansiones en Miami.
La historia se volvió violenta cuando otros delincuentes se dieron cuenta. Adam Iza, una figura de las criptomonedas de veinticinco años que se hacía llamar "El Padrino", se enteró de qué ladrones habían recibido qué parte de los fondos robados y conspiró con un cómplice para secuestrar a los padres de uno de ellos, Veer Chetal, para extorsionar su parte. Los Chetal fueron embestidos por detrás en una autopista de Connecticut mientras conducían su recién comprada camioneta SUV Lamborghini, luego fueron rodeados por una camioneta blanca cuyos ocupantes golpearon al padre con un bate, arrastraron a la madre por el cabello y ataron a ambos con cinta adhesiva antes de llevárselos. La policía interceptó la camioneta antes de que se completara la transferencia del rescate, y en pocos meses se produjeron arrestos en varios estados.
El atraco en sí fue casi de baja tecnología. No hubo explotación de vulnerabilidades, ni "zero-day" (ataques de día cero), ni fallas en contratos inteligentes. Los doscientos cuarenta y cinco millones de dólares completos fueron robados a través de una llamada telefónica, una voz tranquila y una víctima que creyó que la persona en la línea trabajaba en Google. La técnica se llama "vishing", abreviatura de "voice phishing" (phishing de voz), y se ha convertido en una de las formas principales en que se vulneran las carteras grandes de criptomonedas porque elude todas las herramientas de seguridad excepto el escepticismo humano.
Para los poseedores comunes, la lección es contundente. Ninguna empresa legítima llamará jamás para solicitar un código de seguridad, una frase semilla o acceso remoto a una billetera, y cualquier llamada entrante que realice una de esas solicitudes es el ataque en sí, independientemente de lo profesional que suene. Colgar y devolver la llamada a la empresa a través de su número oficial no cuesta nada y frena la técnica por completo.
