Respuesta rápida
¿Qué debe hacer cuando un sitio de phishing suplanta a su proyecto?
Cuando un sitio de phishing suplanta a su proyecto, compruebe primero si su propio dominio sigue resolviendo correctamente, avise después a los usuarios desde canales verificados con su dirección real, denuncie el sitio a su registrador y a su proveedor de alojamiento en paralelo, y rote cualquier acceso que un atacante pueda tener. Chainalysis contó un aumento de cerca del 1,400% en las estafas de suplantación en 2025. Wardmint actúa dentro de 24 horas tras un reporte bien documentado.
La primera hora, minuto a minuto
| Ventana | Acción | Dueño |
|---|---|---|
| 0 a 10 minutos | Confirmar la falsificación, comprobar su propio DNS, designar a un responsable del incidente | Responsable de seguridad |
| 10 a 25 minutos | Publicar un aviso en todos los canales verificados con la dirección real; pausar cualquier campaña de firmas | Responsable de comunidad |
| 25 a 40 minutos | Enviar el expediente de pruebas al registrador y al proveedor de alojamiento; marcar la URL en las listas de advertencia | Responsable de seguridad |
| 40 a 60 minutos | Comprobar el acceso a la cuenta del registrador, rotar contraseñas y 2FA, revisar los registros DNS | Responsable de operaciones |
| Después de la primera hora | Seguir las denuncias, informar a los usuarios, decidir sobre una reclamación UDRP | Responsable del incidente |
La lista de comprobación de la primera hora
Distinga un dominio parecido de un secuestro
Ejecute la comprobación de DNS de abajo. Un dominio parecido es un dominio distinto; los usuarios que escribieron o hicieron clic por error llegaron allí. Un secuestro significa que su propio dominio apunta ahora a otro lugar, y el caso es una emergencia en su registrador.
Designe a un único responsable del incidente
Una persona se encarga de la cronología, de la carpeta de pruebas y de cada mensaje saliente. Los demás ejecutan; no improvisan.
Avise a los usuarios desde canales de su confianza
Publique la dirección real en el banner de su sitio, en sus redes sociales, en el servidor de su comunidad y en los canales de integración de wallets. Diga claramente: no firme nunca una petición procedente de ninguna otra dirección. Escriba la dirección falsa desactivada, como example[.]com, para que nadie haga clic.
Inicie las denuncias en paralelo
Primero el registrador y el proveedor de alojamiento, luego Safe Browsing, Netcraft, Chainabuse y las listas de bloqueo de wallets. La guía de denuncias tiene los comandos RDAP.
Blinde sus propios accesos
Revise el acceso a la cuenta del registrador, al proveedor de DNS y al alojamiento. Rote las contraseñas, sustituya el 2FA por SMS por una llave de hardware y revise los registros DNS línea por línea. Consulte cómo proteger su cuenta de registrador contra la toma de control.
Ayude a los usuarios que ya firmaron
Dígales que muevan los fondos restantes a una wallet nueva, que revisen y revoquen las aprobaciones de tokens con un verificador de aprobaciones de un explorador de bloques, y que le envíen el hash de la transacción. No prometa un reembolso en el primer mensaje.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack¿Cómo distingue un sitio parecido de un secuestro de su propio dominio?
Si su dominio sigue resolviendo a sus servidores y sus servidores de nombres son suyos, la falsificación vive en otro dominio. La comprobación lleva menos de un minuto con los comandos anteriores. Un dominio parecido significa que el atacante posee un dominio distinto y cuenta con que los usuarios se equivoquen al escribir, hagan clic en un anuncio o sigan un enlace.
Un secuestro es distinto. El 12 de mayo de 2025 el dominio de Curve Finance fue redirigido a nivel de registrador hacia las 20:55 UTC; el equipo lo descubrió a las 21:20 UTC y dijo a los usuarios que usaran curve.finance como dirección provisional, y afirmó que los contratos y los datos de los usuarios no se vieron afectados. En la tarde del 30 de octubre de 2026, los dominios de una docena de front ends DeFi registrados con Name.com fueron redirigidos a un kit drainer, y The Block informó de que diez dominios se suspendieron a las 8:32 a.m. hora del Este a la mañana siguiente. En un secuestro, llame a su registrador antes que a nadie.
¿Qué debe decir el aviso a los usuarios?
Un buen aviso da la dirección real, dice qué rechazar y no señala a nadie como culpable. Manténgalo en cuatro líneas: qué ocurrió, la única dirección oficial, la instrucción de rechazar cualquier petición de firma procedente de otra dirección y la hora de la próxima actualización.
No enlace el sitio falso. No especule sobre las pérdidas. El aviso de Curve de mayo de 2025 es un modelo del formato: dijo qué se redirigió, qué dirección usar y que los contratos no se vieron afectados. Fije el aviso en todos los canales y edítelo en el lugar cuando cambien los hechos, indicando la hora de cada edición. El paso a más largo plazo es un conjunto defensivo de sus propias variantes para que las falsificaciones obvias no estén a la venta para un atacante.
¿Qué hace con las denuncias y las pruebas?
Envíe un único expediente de pruebas a cada destinatario en la misma hora. El expediente contiene la URL, capturas de pantalla con fecha, la petición de firma, las direcciones de wallet receptoras y la salida RDAP. El orden completo de contactos está en cómo dar de baja un sitio de phishing que copia su dApp.
Lleve un registro de cada denuncia con su hora, destinatario y número de referencia. Una reclamación UDRP posterior, una queja a ICANN Compliance o una denuncia policial parten de ese registro. Las pérdidas por drainers son grandes: ScamSniffer contó 106,106 víctimas y USD 83.85 million en pérdidas por wallet drainers en cadenas EVM en 2025, por lo que un registro limpio ayuda a los usuarios que presentan sus propias denuncias.
¿Cuánto cambia la preparación la primera hora?
Un manual de procedimientos escrito ahorra los minutos que no puede perder. Según el estudio de Wardmint del 12 de noviembre de 2026, su archivo de investigación contiene cuatro entradas de secuestro con fuente primaria desde julio de 2024: la oleada de Squarespace (julio de 2024), Curve Finance (mayo de 2025), un grupo de cinco proyectos (febrero de 2026) y clientes de Name.com (octubre de 2026). Cada fuente vincula el ataque con la capa del dominio, el registrador o el DNS en lugar de con los contratos inteligentes, aunque la causa de octubre de 2026 se disputa entre Name.com y Vercel. Anote, antes de necesitarlo: quién tiene el inicio de sesión del registrador, dónde se guardan las claves 2FA, los registros DNS que espera y el contacto de cada canal.
Para reforzar antes de un incidente, consulte cómo proteger su dominio contra el secuestro de DNS. Soporte en Wardmint: respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso.
Preguntas sobre incidentes de suplantación
¿Debo desconectar mi sitio real durante un incidente?
Solo si su propio dominio ha sido secuestrado o comprometido. Para un dominio parecido en otro dominio, mantenga su sitio en línea y haga más visible la dirección real.
¿Debo anunciar el incidente públicamente?
Sí, una vez confirmado. Los usuarios firman la petición falsa en los minutos anteriores a enterarse, así que un aviso breve y factual desde canales verificados hace más bien que un informe completo redactado después.
¿Pueden los usuarios recuperar sus fondos?
No lo prometa. Diga a los usuarios cómo proteger los fondos restantes y pídales que compartan los hashes de las transacciones; la recuperación depende de la cadena, del drainer y de cualquier acción de las fuerzas del orden.
¿Con qué rapidez actuará el registrador ante mi denuncia?
Ningún plazo obliga a todos los registradores. ICANN exige a los registradores acreditados que actúen con prontitud ante pruebas accionables de phishing desde el 5 de abril de 2024. En Wardmint, la acción llega dentro de 24 horas tras un reporte bien documentado.
En resumen
- Compruebe primero su propio DNS: un dominio parecido y un secuestro requieren llamadas distintas.
- Avise a los usuarios desde canales verificados con la dirección real y sin enlace activo a la falsificación.
- Envíe las denuncias al registrador y al proveedor de alojamiento en paralelo con un único expediente de pruebas.
- Rote los accesos del registrador, del DNS y del alojamiento y pase a 2FA con hardware.
- Chainalysis contó un aumento de cerca del 1,400% en las estafas de suplantación en 2025.
- ScamSniffer contó USD 83.85 million perdidos por wallet drainers en cadenas EVM en 2025.
- Wardmint actúa dentro de 24 horas tras un reporte bien documentado.
Fuentes (7)
- Incidente de dominio de Curve — Curve Finance (consultado 2026-11-12)
- Hackers secuestran una docena de sitios web DeFi, todos registrados con Name.com — The Block (consultado 2026-11-12)
- Estafas cripto 2026: informe de Chainalysis — Chainalysis (consultado 2026-11-12)
- Informe de ScamSniffer de 2025: las pérdidas por phishing cripto caen un 83% hasta $84 million — ScamSniffer (consultado 2026-11-12)
- Secuestro de front ends y la superficie de ataque Web2 — Blockaid (consultado 2026-11-12)
- Investigadores: configuraciones de seguridad débiles por defecto permitieron los secuestros de dominios de Squarespace — Krebs on Security (consultado 2026-11-12)
- Enmiendas globales de 2024 al Acuerdo de Acreditación de Registradores: abuso de DNS — ICANN (consultado 2026-11-12)