¿Cómo funcionan las webs de reclamación de airdrops falsos y los dominios de phishing?

¿Qué aspecto tiene una campaña de airdrop falso?

Parece un anuncio del proyecto, un enlace y una ventana emergente de cartera que resulta rutinaria. La crónica de MalwareTips del 23 de abril de 2025 documenta una campaña contra un token de staking. Se difundió por correo no deseado, mensajes de Discord, perfiles falsos en redes sociales que se hacían pasar por personal del proyecto, anuncios de búsqueda y de sitios cripto, y grupos de Telegram, y decía a los titulares que se habían calificado para una asignación mayor. Usaba tres formas de dominio: un prefijo claims- en .net, un nombre project-airdrop en .xyz y un nombre project-rewards en .org. La página copiaba la marca del proyecto y guiaba al visitante por conectar la cartera, comprobar la elegibilidad, reclamar y bloquear los tokens. Una vez conectada la cartera, un script solicitaba en segundo plano aprobaciones de tokens y movía los activos a los que podía acceder; no se pedía ninguna frase semilla.

El paso final explica por qué importa el dominio. El usuario no es hackeado: firma, en un sitio que parece el del proyecto, en una dirección que parece la del proyecto.

¿Por qué los drenadores siguen usando dominios nuevos?

Porque los dominios son baratos de rotar y las listas de bloqueo necesitan tiempo para ponerse al día. El informe de Check Point Research del 7 de mayo de 2025 sobre Inferno Drainer describe más de 30,000 nuevas víctimas entre septiembre de 2024 y marzo de 2025 y al menos 9,000,000 $ en pérdidas en seis meses, y señala que el total podría ser mayor. Enumera una docena de dominios de destino que imitaban un mismo servicio de verificación comunitaria y dice que rotaban cada pocos días, y describe un señuelo de airdrop aparte para un memecoin político en su propio dominio parecido.

El mismo informe muestra que el dominio es solo un eslabón de la cadena. En la campaña de Discord que describe, los atacantes reclamaban enlaces de invitación personalizados caducados de proyectos cripto, así que los usuarios que habían guardado un enlace antiguo entraban en el servidor del atacante y encontraban un bot falso sin la marca de verificación de la aplicación. Un proyecto que deja caducar una invitación personalizada, o un dominio, entrega al atacante un nombre de confianza. Mantener las renovaciones al día se explica en cómo evitar que sus dominios caduquen.

¿Qué nombres debe registrar un proyecto antes de un airdrop?

Registre el nombre exacto en las terminaciones principales, y después las palabras claim, airdrop y rewards en las terminaciones que prefieren los phishers. Los datos de Interisle para el 1 de mayo de 2025 al 30 de abril de 2026 cuentan 869,180 dominios de phishing bajo .com, 130,945 bajo .pro, 99,602 bajo .info, 93,987 bajo .xyz, 79,625 bajo .shop y 74,786 bajo .icu. Todas esas terminaciones están en el catálogo de Wardmint.

Un orden práctico para un airdrop:

1. El conjunto básico (.com, .net, .org, .io, .xyz, .app, $128.94 al año) para el nombre exacto.
2. Las palabras que usará en el anuncio, como claim, airdrop y rewards, unidas al nombre del proyecto en .com, .xyz y .org.
3. Las terminaciones que usan los phishers (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 al año) para el nombre exacto.
4. Las erratas habituales del nombre, encontradas con las herramientas gratuitas de cómo encontrar dominios parecidos a su marca.

El calendario completo alrededor de un evento de token está en qué dominios registrar antes del lanzamiento de un token. Wardmint registra las variantes de un proyecto para ese mismo proyecto, nunca parecidos de otra marca, y no vende .top, una de las diez terminaciones de la lista de Interisle.

¿Cómo debe un proyecto advertir a sus usuarios?

Indique de antemano dónde está el canal de reclamación y dónde no está. La guía de Kerberus del 10 de abril de 2026 enumera las señales de alerta que los usuarios deben comprobar: ningún anuncio en los canales verificados del proyecto, una petición de frase semilla o clave privada, un pago por adelantado para recibir tokens, cantidades poco realistas y tokens no solicitados en una cartera. También aconseja guardar en marcadores el sitio oficial y advierte de que los dominios parecidos usan pequeños cambios de caracteres y letras cirílicas.

Un proyecto puede convertir esa lista en su propio anuncio:

• Publique una dirección de reclamación, en un dominio que usted posea, antes del evento.
• Diga que nunca pedirá una frase semilla ni un pago para recibir tokens.
• Fije la misma declaración en todos los canales verificados.
• Redirija cada nombre defensivo a la página oficial mediante reenvío, para que un enlace de reclamación mal escrito llegue a su sitio y no al de un desconocido.
• Conozca la vía de denuncia: cómo denunciar un dominio de phishing indica los contactos del registrador, del host y de las listas de bloqueo.

Wardmint ofrece redirección de URL y de email gratuitas desde el área de cliente y una plantilla DNS sin correo (MX nulo, SPF -all, DMARC p=reject) para los nombres sin usar.

¿Cuántas de las terminaciones más abusadas vende Wardmint?

Según la encuesta de Wardmint del 12 de noviembre de 2026, 6 de las 10 terminaciones con más dominios de phishing en los datos de Interisle 2025-2026 (.com, .pro, .info, .xyz, .shop y .icu) están en su catálogo de 29, y 4 (.top, .cn, .vip y .cc) no lo están. Un nombre defensivo registrado por el proyecto no puede ser registrado por un operador de drenadores.

Dos frases citables: un dominio de airdrop falso es una copia del nombre del proyecto con una palabra de reclamación añadida; la primera defensa es poseer los obvios antes del anuncio. Wardmint no afirma que registrar nombres acabe con el fraude, ya que el phishing también usa subdominios de plataformas y canales secuestrados. Los parecidos construidos con letras extranjeras se explican en qué es un ataque de homógrafos IDN.