Desmantelamiento de Red de Clones de Protocolo DeFi
Una red coordinada de 27 canales clones suplantando un protocolo DeFi importante, drenando aproximadamente 340.000 $ de usuarios durante 6 semanas antes de la neutralización.
Panorama de la Amenaza
Un actor malicioso sofisticado había desplegado 27 canales clones Telegram en 5 variaciones distintas de nombre de usuario, cada uno reflejando la marca del proyecto oficial, los mensajes fijados y la lista de administradores. Los clones estaban organizados en un embudo escalonado: los canales de nivel 1 transmitían anuncios falsos de airdrops, los bots de soporte de nivel 2 recopilaban aprobaciones de billeteras y los grupos privados de nivel 3 alojaban estafas de 'whitelist' pagadas. Los gestores comunitarios del protocolo fueron bloqueados del canal oficial mediante un ataque SIM-swap en la cuenta de administrador principal.
Cronograma del Compromiso
Día 1
Recepción y Triaje
Recepción del briefing del cliente. Mapeo completo de la red de clones mediante análisis de menciones entre canales y recolección de metadatos.
Día 2-3
Mapeo de Infraestructura
Identificación de 5 cuentas Telegram C2 utilizadas para coordinación, 3 cuentas Fragment vinculadas y un VPS gestionado que aloja infraestructura de bots.
Día 4-6
Desmantelamiento Multi-Vector
Denuncia masiva coordinada ejecutada con paquetes de evidencia. Escalado a Telegram mediante canal de denunciante de confianza. Despliegue de bots de respuesta automatizados para interceptar nuevos integrantes.
Día 7-10
Verificación y Transferencia
Los 27 canales confirmados neutralizados. Acceso de administrador restaurado al equipo original. Monitoreo posterior a la operación iniciado por 30 días.
Tácticas Utilizadas
Resultados
Volver a Casos de Estudio