Qué hacer si una extensión de navegador maliciosa robó tu cripto: guía completa de recuperación

Respuesta rápida

Cómo se ve esta estafa

Las extensiones de navegador maliciosas son uno de los vectores de robo de criptomonedas más peligrosos que existen hoy. A diferencia de los correos de phishing que requieren que hagas clic en un enlace engañoso, una extensión maliciosa reside silenciosamente dentro de tu navegador con acceso privilegiado a cada página que visitas, incluida tu interfaz de cartera, el panel del exchange y el portapapeles.

El informe de drainers de Chainalysis 2025 identificó los drainers basados en extensiones de navegador como un componente central del ecosistema profesional de robo, que ya había extraído más de 2.170 millones de dólares solo en la primera mitad de 2025. El informe IOCTA 2025 de Europol identificó los infostealers distribuidos a través de extensiones de navegador maliciosas como un método principal para comprometer cuentas de criptomonedas, citando la familia de malware StealC como un ejemplo especialmente activo.

Métodos de distribución más comunes

• Extensiones de cartera falsas: Imitadores de MetaMask, Trust Wallet, Phantom y Ledger Live aparecen en las tiendas de navegadores con iconos casi idénticos. En julio de 2025, se identificaron más de 40 complementos falsos de carteras cripto en la tienda de Firefox en una campaña denominada FoxyWallet. Mozilla informó haber eliminado más de 40 extensiones maliciosas de Firefox que usaban "Extension Hollowing" para eludir la verificación automatizada.
• Compromiso en la cadena de suministro: En diciembre de 2025, una extensión legítima de Trust Wallet para Chrome fue comprometida. El ataque resultó en 8,5 millones de dólares robados de más de 2.500 carteras.
• Troyanos en herramientas de productividad: Las extensiones para grabadores de pantalla, convertidores de PDF, rastreadores de precios o servicios VPN a veces contienen módulos ocultos de robo de criptomonedas.
• Secuestro de cookies y sesiones: El robo de 1 millón de dólares documentado por SlowMist a través de la extensión AGGR (junio de 2024) demostró cómo una extensión maliciosa puede robar cookies del navegador y eludir la autenticación de dos factores por completo.

¿Qué hace exactamente la extensión?

Una vez activa, una extensión maliciosa puede: interceptar las solicitudes de firma de la cartera y sustituir las direcciones controladas por el atacante, leer y sobrescribir el contenido del portapapeles, recolectar tokens de sesión para suplantar tu identidad en los exchanges, capturar pulsaciones de teclas e inyectar JavaScript en cualquier página.

TRM Labs informó que el 76 % de los fondos robados en los principales ataques fluyeron a través de compromisos a nivel de infraestructura. El Informe de Cibercrimen de 2024 del FBI documentó 9.300 millones de dólares en pérdidas por fraude cripto. El informe IC3 de 2025 elevó esa cifra a más de 11.000 millones de dólares.

Por qué la gente cae en ella

Tanto Chrome Web Store como la tienda de complementos de Firefox usan revisión automatizada, pero esos procesos no son infalibles. Los atacantes invierten en listados convincentes: reseñas de cinco estrellas plantadas, capturas de pantalla pulidas, descripciones copiadas de extensiones legítimas. El equipo de seguridad de Mozilla eliminó más de 40 extensiones maliciosas en 2025 tras descubrir la técnica de "Extension Hollowing".

Los ataques a la cadena de suministro eluden por completo la vigilancia del usuario. El compromiso de la extensión Chrome de Trust Wallet en diciembre de 2025 afectó a usuarios que habían instalado una extensión genuina meses antes. Las extensiones de navegador se actualizan automáticamente y en silencio.

La actualización dirigida de 2025 del FATF sobre activos virtuales señaló que el aumento del fraude se debe en parte a la brecha entre la complejidad tecnológica y el nivel de seguridad promedio del usuario. Los atacantes programan sus campañas en torno a eventos del mercado, como lanzamientos de tokens, acuaciones de NFT y ventanas de airdrops, momentos en que la urgencia suprime el pensamiento crítico.

Primeras 24 horas: qué hacer inmediatamente

1. Desconecta tu navegador de internet de inmediato. Desconéctate desactivando el Wi-Fi y desenchufando el cable ethernet. Esto detiene cualquier secuestro de sesión o exfiltración de datos en curso.
2. Elimina la extensión maliciosa y ejecuta un análisis completo de malware. Abre el gestor de extensiones del navegador (chrome://extensions o about:addons), identifica y elimina la extensión sospechosa. Ejecuta un análisis completo con una herramienta de seguridad de confianza.
3. Revoca todas las aprobaciones de la cartera desde un dispositivo limpio. Usa un dispositivo separado no comprometido para conectarte a herramientas de revocación como Revoke.cash o el verificador de aprobaciones de tokens de Etherscan. Revoca todas las aprobaciones ilimitadas o desconocidas.
4. Transfiere los activos restantes a una cartera completamente nueva. Genera una cartera completamente nueva en un dispositivo limpio, preferiblemente una cartera de hardware. Transfiere todo lo que quede. Trata la cartera comprometida como definitivamente quemada.
5. Documenta todo antes de cambiar cualquier otra cosa. Captura de pantalla tu lista completa de extensiones del navegador, la página de permisos de la extensión, cualquier correo electrónico de confirmación de instalación y todos los hashes de transacciones en cadena.
6. Presenta una denuncia ante las autoridades. Envía una queja al Centro de Denuncias de Crímenes en Internet del FBI (ic3.gov) y a tu unidad nacional de cibercrimen. Incluye los hashes de transacciones, las direcciones de cartera, el nombre y el enlace de la tienda de la extensión y el valor perdido.
7. Notifica a cualquier exchange donde hayan llegado los fondos robados. Usa un explorador de blockchain para rastrear adónde fueron los fondos. Si llegaron a un exchange centralizado, contacta de inmediato al equipo de fraude o cumplimiento de ese exchange.
8. Preserva todos los dispositivos - no los borres todavía. Los investigadores forenses y las autoridades pueden necesitar datos de tus dispositivos. Ház una copia de seguridad en una unidad externa cifrada y apártalos.

Lo que NO debes hacer

• No busques "servicios de recuperación de cripto" en internet. La gran mayoría son estafas secundarias. El informe IC3 del FBI de 2025 documentó un aumento del fraude de recuperación dirigido a víctimas previas de cripto.
• No borres tu dispositivo de inmediato. Destruirás evidencia forense.
• No reinstales la misma extensión desde un enlace diferente. Los atacantes publican múltiples clones.
• No reutilices la dirección de cartera comprometida. Trátala como definitivamente quemada.
• No pagues tarifas por adelantado a nadie que prometa recuperación. No existe ninguna tarifa que revierta una transacción de blockchain.
• No compartas tu frase semilla ni tu clave privada con nadie, jamás. Ningún investigador legítimo la necesita.

Cómo es la recuperación real

Las transacciones de blockchain son inmutables. No hay botón de deshacer. Pero la recuperación existe en un espectro.

Si los fondos llegaron a un exchange centralizado, la ruta de mayor probabilidad, ese exchange tiene datos KYC de la cuenta receptora. Una solicitud de congelación policial, respaldada por un rastreo profesional de blockchain, puede resultar en la congelación de activos antes de que el atacante retire. Los exchanges responden más rápido cuando la dirección de destino es reportada dentro de las primeras 24 horas.

Si los fondos pasaron por un DEX o un puente, la recuperación es más difícil, pero no imposible. Los investigadores profesionales con acceso a plataformas analíticas comerciales (Chainalysis Reactor, TRM Forensics, Elliptic Navigator) pueden rastrear flujos entre cadenas que no son visibles en los exploradores de blockchain gratuitos.

Si los fondos pasaron por un mezclador o protocolo de privacidad, la probabilidad de recuperación disminuye significativamente. El análisis en cadena a veces puede identificar patrones de consolidación que vinculan las salidas del mezclador con la infraestructura conocida del atacante.

Security Week documentó 494 millones de dólares en robos por drainers a 332.000 víctimas en 2024. La recuperación total de todos los activos no es la norma. La recuperación parcial, las congelaciones en exchanges y las sentencias civiles son resultados más realistas.

Cuándo involucrar a un investigador profesional

En muchos casos de robo por extensión de navegador, involucrar a un investigador profesional de blockchain dentro de las primeras 48 horas es la diferencia entre un rastro trazable y fondos que ya han pasado por las salidas de un mezclador.

• El monto robado es significativo para ti. El trabajo de rastreo profesional produce la documentación que las autoridades necesitan para actuar.
• Los fondos se movieron a través de múltiples cadenas o protocolos. Los investigadores con plataformas analíticas comerciales pueden rastrear flujos invisibles para los exploradores gratuitos.
• Necesitas evidencia formal para un exchange o un tribunal. Los exchanges y los tribunales requieren documentación estructurada y atribuida con cadena de custodia.
• La extensión provenía de una tienda oficial. Los ataques a la cadena de suministro pueden crear responsabilidad para la tienda o el desarrollador comprometido.

Un investigador legítimo comienza con un rastreo forense de blockchain, mapeando los fondos robados a través de cada dirección intermedia, etiquetando entidades conocidas e identificando posibles puntos de salida. Recoveris se especializa en este flujo de trabajo para casos de robo de criptomonedas en múltiples jurisdicciones.

Señales de alerta de estafas de recuperación

El informe IC3 del FBI de 2025 destacó el fraude de recuperación como una de las subcategorías de delito cripto de crecimiento más rápido, con víctimas a las que a menudo se acerca horas después de sufrir una pérdida.

Señales de advertencia que debes detectar de inmediato

• Contacto no solicitado tras tu pérdida. Si alguien te contacta a través de Telegram, Discord o correo electrónico afirmando ser un especialista en recuperación poco después del robo, trátalo como una estafa.
• Promesas de recuperación garantizada. Ningún profesional honesto garantiza resultados. Las afirmaciones de "tasa de éxito del 95 %" son fabricadas.
• Tarifas por adelantado presentadas como "tarifas de liberación" o "desbloqueo de cartera". No existe ninguna tarifa que revierta una transacción de blockchain.
• Solicitudes para instalar software de acceso remoto. Cualquier servicio de recuperación que te pida instalar TeamViewer o AnyDesk quiere acceder para robar lo que queda.
• Suplantación de organismos gubernamentales. Las agencias reales no cobran tarifas de recuperación ni contactan a las víctimas a través de Telegram o WhatsApp.
• Solicitudes de tu frase semilla o clave privada. Ningún investigador legítimo la necesita jamás.

Cómo verificar una empresa legítima

Solicita los datos de registro de la empresa y verifícalos con el registro nacional. Busca los nombres de los directivos de forma independiente. Empresas como Recoveris publican su metodología y pueden verificarse a través de registros públicos de empresas en Suiza.

Referencias

1. 1.Oficina Federal de Investigaciones / IC3 - Informe de Crimen por Internet 2024. ic3.gov. 9.300 millones de dólares en pérdidas por fraude cripto en 2024.
2. 2.Oficina Federal de Investigaciones / IC3 - Informe de Crimen por Internet 2025. ic3.gov. Más de 11.000 millones de dólares en pérdidas por fraude cripto en 2025.
3. 3.Chainalysis - Informe sobre Drainers de Cripto. chainalysis.com. Drainers por extensión de navegador; 2.170 millones de dólares robados a mediados de 2025.
4. 4.TRM Labs - Drainware: Lamentablemente llegando a una cartera de criptomonedas cercana a ti. trmlabs.com. El 76 % de los fondos robados a través de ataques de infraestructura.
5. 5.Europol - IOCTA 2025: Robar, traficar, repetir. europol.europa.eu. Infostealers a través de extensiones de navegador maliciosas.
6. 6.FATF - Sexta Actualización Dirigida sobre Activos Virtuales y VASPs (2025). fatf-gafi.org. Aumento del fraude en activos virtuales.
7. 7.Mozilla - Estafas de carteras cripto: neutralizando una nueva amenaza (mayo de 2025). blog.mozilla.org. Más de 40 extensiones maliciosas de Firefox; Extension Hollowing.
8. 8.The Hacker News - Hackeo de la extensión Chrome de Trust Wallet (diciembre de 2025). thehackernews.com. Ataque a la cadena de suministro; 8,5 millones de dólares de 2.520 carteras.
9. 9.SlowMist - Descubriendo cómo una extensión maliciosa robó un millón de dólares (junio de 2024). slowmist.medium.com. Robo de 1 millón de dólares con la extensión AGGR; secuestro de cookies.
10. 10.TRM Labs Blog - Un año récord para el cibercrimen. trmlabs.com. Cibercrimen cripto récord.
11. 11.Security Week - Malware drainer de carteras usado para robar 500 millones de dólares. securityweek.com. 494 millones de dólares de 332.000 víctimas en 2024.
12. 12.Bleeping Computer - Docenas de complementos falsos de carteras inundan la tienda de Firefox (julio de 2025). bleepingcomputer.com. Campaña FoxyWallet; más de 40 extensiones maliciosas de Firefox.

Preguntas frecuentes