← Volver al blog

VEYRNOX · Blog · 1 de septiembre de 2026 · Por Al Jobson, fundador

Protección de seguridad AI para billeteras de autocustodia

Entre 2022 y 2025, la IA generativa convirtió el cripto phishing de una industria artesanal a una tubería industrial. Chainalysis ahora atribuye aproximadamente $ 17 mil millones en pérdidas por estafas criptográficas en 2025 a un panorama "más rápido, más convincente y más rentable" debido al contenido generado por IA y la suplantación, con operaciones de estafa de IA vinculadas en cadena que ganan aproximadamente 4,5 veces más que las estafas que no son de IA. hacer^[1]. SlashNext registró un aumento del 341 % en enlaces de phishing maliciosos, BEC, códigos QR y amenazas de archivos adjuntos en una sola ventana de seis meses y un aumento de más de cuarenta veces en el volumen de correo electrónico malicioso desde el lanzamiento de ChatGPT en noviembre de 2022^[2]. Los kits de drenaje de billeteras robaron $494 millones de alrededor de 332,000 direcciones en cadenas EVM solo en 2024, un aumento del 67% año tras año^[3].

La parte incómoda: ninguno de estos ataques depende de romper la criptografía. Dependen de convencer a un humano para que escriba doce palabras en un cuadro, firme una transacción que no comprende o crea que el director financiero de la videollamada es en realidad el director financiero. Este artículo trata sobre cuál de esos modos de falla ha empeorado la IA, qué capas defensivas ayudan significativamente y por qué eliminar por completo la superficie de entrada de la frase inicial, como lo hace Veyrnox, es la respuesta estructural a un atacante escalado por la IA en lugar de otro parche encima de uno.

Qué significa realmente "escala de IA" para el titular de una billetera

El phishing siempre ha sido un juego de números. Envíe un millón de señuelos, convierta una fracción de porcentaje y retire dinero. Lo que cambiaron los modelos generativos no es la forma del embudo sino cada entrada en la parte superior del mismo.

Volume. El informe de inteligencia de 2024 de SlashNext registró un aumento del 703 % en los ataques de phishing a credenciales en la segunda mitad del año, con el 80 % de los enlaces maliciosos clasificados como de día cero, generados momentos antes de la implementación y nunca vistos por firmas. filtros^[4]. Un equipo de phishing de habla china rastreado por Chainalysis, "Darcula" o "Smishing Triad", envió hasta 330.000 mensajes de texto por día utilizando kits cuyo costo se estima en menos de $500^[1].

Calidad. Los señuelos ya no se leen como traducidos. La gramática, el tono y la localización coinciden con el objetivo. El informe de amenazas de OpenAI de octubre de 2025 describe a los actores de amenazas que integran la IA en los flujos de trabajo existentes para reescribir correos electrónicos de phishing, traducir señuelos y ajustar la automatización sobre la marcha en ChatGPT, Claude y DeepSeek^[5]. El informe de amenazas de Anthropic de agosto de 2025 documenta un grupo patrocinado por el estado chino que ejecutó entre el 80% y el 90% de una campaña de intrusión contra aproximadamente treinta objetivos a través del Código Claude, con participación humana en solo cuatro a seis puntos de decisión^[6].

Trust. La suplantación, no las nuevas hazañas, es el canal de crecimiento. Chainalysis informa que las estafas que utilizan imágenes falsificadas de funcionarios gubernamentales, instituciones financieras y plataformas criptográficas crecieron más del 1400 % en 2025^[1]. El caso Arup en Hong Kong, denunciado por la policía de Hong Kong en febrero de 2024, es el ejemplo canónico: un trabajador financiero realizó 15 transferencias por un total de aproximadamente 25 millones de dólares después de unirse a una videollamada en la que todos los demás participantes, incluido un doble del director financiero con sede en el Reino Unido, estaban Generado por IA^[7].

Economía de ataque, antes y después

La forma más honesta de leer el cambio es el costo por intento. A continuación, cada celda tiene una fuente.

La pila de ataques criptográficos aumentada por IA

Una operación moderna de criptophishing es una canalización. Cada etapa tiene una aceleración habilitada por IA y cada etapa es un lugar donde una billetera bien diseñada puede, o no, romper la cadena.

1. Reconocimiento y focalización

Los atacantes extraen saldos de billeteras públicas, registros de ENS, tenencias de NFT, publicaciones en foros de DAO y LinkedIn. El informe de Anthropic documenta que los adversarios utilizan a Claude para correlacionar datos filtrados, filtrar objetivos de alto valor y redactar un borrador de divulgación personalizada^[6]. En el lado de las criptomonedas, esto alimenta las operaciones de matanza de cerdos que Chainalysis midió con un 40% en ingresos en 2024, con un recuento de depósitos de casi un 210%^[9].

2. Superficies similares

Aplicaciones falsas, extensiones falsas, portales de soporte falsos. Check Point Research reveló una aplicación falsa "WalletConnect" que estuvo en Google Play durante más de cinco meses a partir de marzo de 2024, se instaló más de 10 000 veces y gastó alrededor de $70 000 al solicitar a los usuarios que aprobaran tokens a través del kit MS Drainer^[10]. Se informó que los clones falsos de Rabby Wallet persistieron en la App Store de Apple a principios de 2024, agotando los fondos después de que los usuarios importaran su frase inicial^[11]. Se han catalogado veinte aplicaciones de Android adicionales que se hacen pasar por billeteras y DEX, incluidas Suiet, PancakeSwap, Raydium y SushiSwap^[10].

3. Aprobación de phishing y firmas de carga útil

La firma que firma importa más que la URL que visitó. El informe de 2024 de Scam Sniffer encontró que el 56,7% del valor drenado provino de firmas EIP-2612 Permit y el 31,9% de llamadas setOwner; ambos son mensajes fuera de la cadena de apariencia inocua que otorgan gasto de token o propiedad del contrato^[3]. Chainalysis identificó más de 20 000 víctimas de phishing de aprobación y $12 millones en fondos congelados en 2025^[1].

4. Abordar el envenenamiento y destinos similares

El atacante siembra su historial de transacciones con una dirección cuyo primer y último carácter coinciden con uno que usted pagó anteriormente. En mayo de 2024, una ballena envió 1.155 Bitcoin envueltos, unos 68 millones de dólares, a un doble envenenado después de copiar una dirección del historial^[12]. Un estudio independiente de Carnegie Mellon documentó 270 millones de intentos de envenenamiento de direcciones contra 17 millones de billeteras en Ethereum y BNB Chain entre julio de 2022 y junio de 2024, con pérdidas confirmadas de más de $83 millones^[13]. El costo de generación de una dirección personalizada similar es trivial una vez que el precio de la GPU es competitivo; la transacción de envenenamiento en sí le costó al atacante alrededor de $0,65 en el caso WBTC^[12].

5. Agentes de navegador de modelo en el bucle

Los navegadores agentes que leen páginas, hacen clic en enlaces y firman transacciones en nombre del usuario son una nueva clase de víctima. El investigador de seguridad Simon Willison ha documentado inyecciones de mensajes "invisibles" en capturas de pantalla e imágenes que ingieren los navegadores agentes, invisibles para el ser humano pero completamente legibles para el modelo^[14]. El equipo de seguridad de Brave informó graves vulnerabilidades de inyección rápida en el navegador Comet AI de Perplexity^[14]. El patrón de amenaza que Willison denomina la "trifecta letal" se aplica directamente a cualquier agente conectado a una billetera: el acceso a datos privados, la exposición a contenido no confiable y una ruta de exfiltración, en conjunto producen transferencias silenciosas de activos^[14].

6. Ingeniería social deepfake

El caso Arup es el ancla, pero no es el único. Chainalysis agrupa la suplantación de identidad impulsada por deepfake en una categoría que creció un 1400 % en volumen de pagos en 2025^[1]. El punto relevante para un usuario de autocustodia es que cualquier ruta de recuperación que termine con un humano en una videollamada autorizando una transferencia, "por favor, léanme los códigos", ahora es barato de romper.

Capas defensivas, lo que realmente te compra cada una

El mercado defensivo respondió con tres enfoques amplios: advertir al usuario, iniciar sesión en un lugar más seguro y eliminar la entrada explotable. No son equivalentes.

Simulación de transacciones y banners de advertencia

Blockaid, integrado de forma predeterminada en MetaMask a principios de 2024, simula el efecto de una transacción pendiente y advierte antes de firmar^[15]. Se incluyen herramientas similares en Rabby, Pocket Universe, Wallet Guard y Fire. Esto es útil pero parcial. Los propios documentos de investigación de Blockaid evitan las técnicas que utilizan los atacantes para evadir la simulación de transacciones, y cualquier sistema de advertencia aún requiere que el usuario interprete y rechace. En la práctica, una interfaz de usuario de drenaje bien diseñada puede anular la fatiga de las advertencias, especialmente cuando el atacante controla el contexto de confianza circundante (consulte la aplicación falsa WalletConnect^[10]).

Carteras de hardware

Ledger, Trezor y Keystone cierran la sesión del dispositivo host. Esto derrota a una gran clase de malware, pero no a la parte humana de los ataques a escala de IA: la frase inicial todavía existe como 12 o 24 palabras recuperables, y los usuarios han sido sometidos a ingeniería social para escribir esa frase en pantallas de recuperación falsas durante una década. La recuperación fragmentada de Shamir SLIP-39 de Trezor es un notable paso adelante en ese frente.

MPC y custodia

Las carteras informáticas multipartitas y los servicios de custodia eliminan la semilla por completo a costa de la confianza en un operador o un quórum de servidores. Son arquitectónicamente fuertes contra el phishing, pero reintroducen el problema de "no son tus claves", y la superficie de recuperación de cuentas puede convertirse en el objetivo del atacante de IA a través de la suplantación de la atención al cliente, un patrón bien documentado en violaciones de intercambio.

Firma de Secure-Enclave y ningún material de clave visible para el usuario

Secure Enclave de Apple es un administrador de claves de hardware similar en función a un TPM o HSM. Las claves privadas generadas dentro del enclave no se pueden exportar y están vinculadas a ese chip específico; La certificación de hardware permite a una parte de confianza verificar que una firma proviene de un Secure Enclave específico en lugar de software^[16]. Android StrongBox de Google ofrece una garantía análoga en los dispositivos compatibles. Cuando una billetera genera sus claves de firma dentro de este límite y nunca emite una semilla de texto sin formato, no hay ningún artefacto que el usuario pueda escribir mediante phishing.

Marcos que le permiten comparar defensas honestamente

NIST publicó AI 100-2 E2023 en enero de 2024, formalizando la taxonomía de los ataques adversarios de aprendizaje automático (evasión, envenenamiento, privacidad)^[17]. MITRE ATLAS amplía ATT&CK a tácticas específicas de IA. El panorama de amenazas de IA de ENISA añade riesgo a nivel de ecosistema. Para una billetera, estos marcos son importantes por una razón específica: distinguen entre agregar un modelo como otro sensor (simulación de transacción) y eliminar una superficie atacable del diseño (sin campo semilla, firma vinculada al hardware). Sólo la segunda clase es estable cuando el atacante también tiene modelos.

Por qué la "IU sin semilla" no es marketing

Cada autopsia de pérdida de billetera de 2024 que revisamos se reduce a una de tres entradas: una frase inicial escrita en una página de phishing, un Permiso o firma de setOwner aprobada en una dApp falsa, o una asignación simbólica otorgada a una entidad maliciosa. contrato^[3][10]. La mejora de la IA generativa es que cada uno de estos ahora puede ser producido en volumen por un operador sin casi ninguna habilidad técnica y con una unidad casi nula. costo^[1][6]. Mejores filtros reducen el volumen; no cierran las puertas subyacentes.

El diseño de Veyrnox es deliberadamente estrecho. Las claves se generan dentro de Secure Enclave en iOS (StrongBox en Android cuando enviamos allí); Apple documenta que las claves privadas generadas en el enclave no se pueden exportar y están vinculadas a ese chip específico^[16]. No se muestra, captura de pantalla ni se escribe ninguna frase de 12 palabras. La recuperación utiliza Shamir Secret Sharing (consulte nuestro explicador de Shamir) con un recurso compartido en el dispositivo y otro en su propio llavero de iCloud, por lo que ninguna copia de seguridad robada reconstruye la billetera. Un PIN bloquea la aplicación; bajo coerción, un PIN de coacción puede revelar una billetera señuelo en lugar del saldo principal.

Nada de esto impide que un atacante con escala de IA lo intente. Cambia lo que produce el intento. Todavía llega un SMS de phishing perfecto. No hay nada al otro lado de un grifo Veyrnox que pueda escribir doce palabras. Aún llega una llamada de soporte falsa. No hay ningún agente de soporte en Veyrnox que pueda mover fondos. Una dApp maliciosa aún solicita un permiso. La transacción se muestra, se traduce a intención en el dispositivo y se bloquea mediante autenticación biométrica vinculada al mismo enclave que contiene la clave.

Qué aún requiere la vigilancia del usuario

El diseño baja el suelo; no elimina al usuario. Tres categorías todavía dependen del juicio humano:

Entrada de dirección. Una dirección de destino similar seguirá firmada si el usuario la pega. La disciplina de copiar y pegar, las comprobaciones de resolución de ENS y el uso de la libreta de direcciones siguen siendo la mitigación. El envenenamiento de direcciones fue responsable de la pérdida de $68 millones del WBTC en 2024^[12].

Fraude de inversión (sacrificio de cerdos). Ninguna arquitectura de billetera impide que un usuario envíe fondos voluntariamente a un estafador que administra un sitio comercial falso. Esta es la categoría más grande en las cifras IC3 del FBI: $5.8 mil millones de las $9.3 mil millones de pérdidas criptográficas estadounidenses en 2024^[8]. La intervención regulatoria y a nivel de plataforma importa más aquí que el diseño de la billetera.

Coerción física. Un ataque con llave inglesa (consulte nuestro artículo sobre ataque con llave inglesa) depende del acceso físico, no del phishing. Carteras señuelo y ayuda para la recuperación de umbrales; nada elimina el riesgo.

Resultado final

Los datos de 2024 a 2025 son consistentes en todos los rastreadores independientes: los atacantes con modelos generativos roban más por operación, ejecutan más operaciones y apuntan a más víctimas que antes. Chainalysis estima las pérdidas para 2025 en 17 mil millones de dólares; el FBI cifra las pérdidas de Estados Unidos en 2024 en 9.300 millones de dólares; SlashNext mide el crecimiento del volumen de phishing en cientos de por ciento; Scam Sniffer mide el aumento por víctima incluso cuando el recuento de víctimas apenas mueve^[1][3]__VX _TAG_74__[4]^[8].

Vale la pena tener banners de advertencia y simulación. Las carteras de hardware siguen siendo una buena opción. Las soluciones de custodia y MPC tienen su lugar. Pero la clase de ataque que la IA escala de manera más eficiente, el phishing para obtener un secreto o una firma de un usuario a través de una superficie similar, se responde mejor al no tener un secreto para el phishing y vincular firmas al hardware que un imitador no puede suplantar. Es por eso que Veyrnox es una billetera de autocustodia sin semillas y con firma Secure-Enclave en lugar de una versión más atractiva de una aplicación mnemotécnica de 2018. Es la superficie de ataque más pequeña que podríamos diseñar sin ceder la custodia.

Acerca del autor