Encuentra Criptomonedas Perdidas

[seoincorporation]

Hace unos días un Youtuber se encontró en instagram un anuncio el cual le ofrece un software para "Encontrar Criptomonedas Perdidas", Dicho software en teoría utiliza la "frases semilla" (combo de 12 o 24 palabras) para buscar las direcciones con balance. Pero tiene truco, si quieres que el software corra mas rápido necesitas pagar entre $200 y $500 dolares para la versión premium, y no solo eso, sino que el software viene infectado con un troyano. Así que esta persona fue víctima de una estafa, así como muchas otras que están cayendo en esto.

Fuente: https://www.youtube.com/watch?v=tfqrrgpgfsI

Y la pregunta del millón... ¿Es posible hacer esto de Encontrar Criptomonedas Perdidas?

Y la respuesta corta es... Si, pero no están perdidas, si encuentras una llave privada que tenga balance al tomar el dinero lo estás robando.

Ahora, hablemos de la forma correcta de hacerlo:

Primero debemos establecer un vector de ataque. Este puede ser fuerza bruta a la frase semilla o fuerza bruta a las llaves privadas, pero hay que tener claro que nuestra probabilidad de éxito es muy baja, pero existen programas como Bitcrack el cual utiliza tarjetas de video para hacer fuerza bruta con tarjetas de video. Personalmente me gusta la herramienta llamada brainflyer para buscar en rangos, pero al final se resume en quien puede buscar mas rápido ya que la probabilidad es de 1 en 2^256.

[1714272418]

1714272418

[1714272418]

1714272418

[1714272418]

1714272418

[1714272418]

1714272418

[Hispo]

Un youtuber con nulo conocimiento de como funciona la criptografía.
Cualquiera que se haya leído lo básico sobre el tema sabría que el propósito de los algoritmos como SHA, son justamente ser resistentes a ataques de fuerza bruta.

Un algoritmo criptografico cualquiera que no pueda traducirse a si mismo en una defense contra ataques que son económicamente posibles de llevarse a cabo, es entonces un algoritmo que no cumple ningún propósito, más allá de la investigación, pruebas o simulaciones.

[albert0bsd]

si quieres que el software corra mas rápido necesitas pagar entre $200 y $500 dolares para la versión premium, y no solo eso, sino que el software viene infectado con un troyano

Yo me pregunto en que punto no saltan las alarmas de que es una estafa por que aparte de pagar, terminas infectado y si tu tienes algua cartera en tu equipo esta muy probablemente va a ser enviada a los estafadores.

Tan solo un es cosas de logica, si crackear carters fuerta tan facil el valor de las monedas como bitcoin fuera de CERO.

Cualquiera que se haya leído lo básico sobre el tema sabría que el propósito de los algoritmos como SHA, son justamente ser resistentes a ataques de fuerza bruta.

Aqui el algoritmo al cual se le hace fuerza bruta es ECDSA + SHA256  + RMD160, lo cual es mas seguro.

[DdmrDdmr]

El Youtuber en cuestión tiene 2,18 millones de subscriptores, una burrada, por lo que ya va bien la difusión del timo en su canal, y es probable que pare a más de uno de caer en este tipo de timos. Según cuentan en el video, el admin del producto le vende que la suscripción básica (no la gratuita) le permitirá ganar 1.500 $ al mes, siendo el coste de 300 $ al mes. Vamos, que negocio seguro …

VirusTotal ya marca el software como un virus troyano según se observa en el video, por lo que a saber lo que puede pasar a cuenta de este hecho a aquellos ingenuos que se lo instalan.

[seoincorporation]

Tan solo un es cosas de logica, si crackear carters fuerta tan facil el valor de las monedas como bitcoin fuera de CERO.

Totalmente de acuerdo, lo que le da el verdadero valor a las criptos es su algoritmo tan seguro que le ha dado a la gente la confianza de invertir 1.27 Trillones de Dolares.

VirusTotal ya marca el software como un virus troyano según se observa en el video, por lo que a saber lo que puede pasar a cuenta de este hecho a aquellos ingenuos que se lo instalan.

El doble atorón, como si no fuera suficiente con estafar esos $500 dolares a los usuarios, les terminan bajando todas sus monedas a través del troyano, es una lástima para las víctimas y concuerdo contigo de que este topo de difusión es sano para la comunidad.

Un punto bastante interesante es como Instagram permite esto, cientos de estafas se anuncian en su plataforma todos los días y la gente sigue cayendo mientras que a ellos solo les interesa cobrar el dinero de los anuncios. Poco ético de su parte.

[DdmrDdmr]

Me ha venido a la mente un hilo que vi en el 2019, creado por un personaje que lleva años inactivo y que era de aquellos que no estaban en el foro precisamente para crear buen rollo, y que en cierto momento creó un hilo sobre una web que, según argumentaba, contenía todas las claves privadas de bitcoin del mundo mundial, algo que obviamente no están albergadas en una base de datos como tal. Por si alguien tiene curiosidad, este es el hilo.

[albert0bsd]

según argumentaba, contenía todas las claves privadas de bitcoin del mundo mundial

He leido ese argumento varias veces, es gracioso por que mucha personas realmente piensan que si estan almacenadas ahi todas las llaves listas para filtrar por saldo y todo el rollo, incluso me han buscado para que le diga a ciertos admins que si pueden vender la base de datos 

Imagina la cantidad de de Yottabytes que deberia de pesar una base datos asi.

[Don Pedro Dinero]

El Youtuber en cuestión tiene 2,18 millones de subscriptores, una burrada, por lo que ya va bien la difusión del timo en su canal, y es probable que pare a más de uno de caer en este tipo de timos. Según cuentan en el video, el admin del producto le vende que la suscripción básica (no la gratuita) le permitirá ganar 1.500 $ al mes, siendo el coste de 300 $ al mes. Vamos, que negocio seguro …

VirusTotal ya marca el software como un virus troyano según se observa en el video, por lo que a saber lo que puede pasar a cuenta de este hecho a aquellos ingenuos que se lo instalan.

Yo no tengo mucho conocimiento técnico pero solo con leer lo de negrita ya se que es una estafa y no me como más la cabeza.

Al youtuber ese lo he visto en unos cuantos vídeos, y me extrañaba que pudiera estar promocionando esa estafa, enfrentándose a posibles acciones legales, pero si véis el texto del primer comentario (fijado), dice: 'Lo que supuestamente hace el software está mal y es ilegal. A medida que lo fui probando, me di cuenta de que realmente no escanea nada; la forma con la que los creadores del "software" ganan dinero es completamente diferente. En un momento del vídeo, podemos ver cómo una persona ha ganado dinero; esto es una estrategia para que crea que funciona e incitarle a invertir más.' Para mi gusto le falta decir claramente que es un timo.

[Hispo]

Me ha venido a la mente un hilo que vi en el 2019, creado por un personaje que lleva años inactivo y que era de aquellos que no estaban en el foro precisamente para crear buen rollo, y que en cierto momento creó un hilo sobre una web que, según argumentaba, contenía todas las claves privadas de bitcoin del mundo mundial, algo que obviamente no están albergadas en una base de datos como tal. Por si alguien tiene curiosidad, este es el hilo.

Yo he dado un vistazo a una página que es similar a esa que te refieres, incluso puede que sea  misma. Recuerdo haber leído que la existencia de esa página y muchas como esa fue utilizada para empujar noticias con poco fundamento acerca de como todas las llaves privadas de todas las wallets habían Sido comprometidas. Es una noticia que es anterior a mi entrada personal en el mundo de Bitcoin.
Lo que ignoran las personas novatas, es que en realidad ningún servidor o almacenamiento es lo suficientemente grande para tener todas esas llaves, lo que realmente pasa es que son generadas de acuerdo la persona navega por el directorio.

[DdmrDdmr]

<…>

Ahora no me acuerdo del fraseado exacto que utilizaba el Youtuber, pero me dio la impresión que defiende claramente que es un timo a través de la exposición de los hechos y a modo conclusivo. Quizás fue desvelando la trama sin enunciar la conclusión al principio, pero viendo el video, nunca me hubiese lanzado a por el software, sino todo lo contrario.

<…>

Y aun así, la persona que trae el site a la palestra en su OP, siendo ya un veterano, erre que erre en insistir de que la herramienta podría dar con alguna clave privada. Vale que técnicamente, suponiendo que las generase sobre la marcha (dado que almacenadas en una BD no puede ser) la probabilidad es mayor que cero, pero vamos, que el número de ceros significativos que uno ha de poner detrás de la coma para la probabilidad del suceso te deja la mano cansada.

[seoincorporation]

Y aun así, la persona que trae el site a la palestra en su OP, siendo ya un veterano, erre que erre en insistir de que la herramienta podría dar con alguna clave privada. Vale que técnicamente, suponiendo que las generase sobre la marcha (dado que almacenadas en una BD no puede ser) la probabilidad es mayor que cero, pero vamos, que el número de ceros significativos que uno ha de poner detrás de la coma para la probabilidad del suceso te deja la mano cansada.

Recuerdo este tipo de páginas, cuando salieron a la luz hubo un poco de panico en la comunidad, la gente se preguntaba, como es posible que una página tenga todas las llaves privadas, y efectivamente como comentan, la página en si genera las llaves privadas en el momento en funcion de el número de página que le demos. No es que las tenga todas.

Pero algo que se me hacía aun mas interesante es que dicha página te mostraba que direcciones tenían balance positivo, y se me hace algo interesante por que esta página se podria adaptar a una especie de fuerza bruta, y en ves de cargar 50 direcciones en 50 se podrpia intentar con pasos mas grandes como 100 millones a la vez y filtrar las direcciones con balance, el problema es que para saber si tienen balance es necesario un "API call" y estas son lentas y limitadas.

[famososMuertos]

Bueno... el cuento es "criptomonedas perdidas".

El software es tan bueno, pero tan bueno, que hace extorno, es decir, diferencia entre "criptomonedas perdidas" y "no perdidas", ya que en el segundo caso las devuelve. Digo, en el hipotético, mejor utópico,  sin importar que lo haga (imposible), estas robando algo que note pertenece.

Es como en la equivalencia, el ferretero (Youtuber) que hace una copia de tus llaves, pero le queda una copia en segundo plano que el cliente no ve, luego las ofrece algunos de sus "clientes"; mira esta llave abre las puertas de alguna casa, no se cual, pero funciona.

De donde saco el Youtubero esta idea o el arte de generar una segunda copia, de otro ferretero, que le dijo, "las ventas de copias de llaves han disminuido", pero he tomado una gran cantidad de llaves que tenia engavetadas y las he ofrecido algunos clientes por un valor de 10x, si es la llave normal, si es la llave Multi-lock, pido hasta 100x su valor normal, esta claro que una casa con este tipo de llave debe tener porque si, mayor ganancias. Es decir, algo así como la versión premio del software.

Obviamente, las llaves no abren ninguna puerta, de hecho han sido "forjadas" al azar, a eso atribuye lo difícil de ir probando casa por casa...

Así que la moraleja es, que si aceptas la llave que te ofrecen, eres parte de la estafa y lo peor, si alguna vez sacaste una copia en esa ferretería, seguramente tu eres una victima real.

Este tipo, hizo todo lo que no debe hacer, descargar el zip, al menos no dio las respectivas advertencias, si él sabe lo que esta haciendo y como operar cualquier .exe que se use,  en ningún momento cuestiono nada, de hecho lo hace muy en versión "marketing".

Luego como Poncio Pilatos, consulta un "experto" que se saca de la manga Virus Total, pero, increíblemente sigue insistiendo...en que si, pero al final recula y menciona que es una estafa.

El titulo es un clic bait...
Un Youtuber, con esa cantidad de seguidores, tiene un impacto impresionante, al menos algunos van a caer en la versión de prueba... si a tan solo unos días ya tiene 140k views, eso facilmente puede significar + de 1400 personas descargando el software.

[seoincorporation]

Como ya quedó claro, hacer fuerza bruta a las llaves privadas es una perdida de tiempo, pero es bueno recordad que podremos crear sistemas 100% seguros pero el factor humano se ha vuelto la mayor vulnerabilidad. Y a lo que voy es que hay mucha gente que perdió su dinero por usar "brainwallets" ya que cuando son palabras o frases lo que buscamos entonces la fuerza bruta se vuelve mucho mas fácil.

Les pondré como ejemplo, la palabra "Cocacola", si vamos a https://brainwalletx.github.io/ podremos generar una dirección con esta palabra.

Dirección: 1DuUnszhx1FX8ZR5LVJ66zUaHxXyE5oh84
Llave Privada: 5KJo4s9Kh6fbfLFSYetXtEvWzNvk3Moy2jFq3jhQR3oj7yJ4h35

Y al ver la cadena de bloques, alguien ya usó esa dirección en el pasado:

https://www.blockchain.com/explorer/addresses/btc/1DuUnszhx1FX8ZR5LVJ66zUaHxXyE5oh84

Y es así como con ataques de fuerza bruta a brainwallets se han robado miles de bitcoins en los últimos años. Al grado que en 2015 el tema llego a DEF CON y le dedicaron una presentación.

https://www.youtube.com/watch?v=foil0hzl4Pg
 DEF CON 23 - Ryan Castellucci - Cracking CryptoCurrency Brainwallets

[DdmrDdmr]

<…>

He probado varios valores que se me han ocurrido, y he dado en un instante con cinco direcciones BTC con TXs y sin saldo. Entiendo que con ataques de diccionarios de palabras y frases comunes, fechas, y demás, ya habrán vaciado la mayoría de los casos "sencillos" de las direcciones generadas y utilizadas en el pasado con algún saldo disponible.

[albert0bsd]

ya habrán vaciado la mayoría de los casos "sencillos" de las direcciones generadas y utilizadas en el pasado con algún saldo disponible.

No tienes ideas, han intentado con todos los diccionarios de passwords lackeados, diccionarios de todos los idiomas, fraces comunes, Pedasos de letras de canciones y fragmentos de libros.

El tema de esas carteras es el factor humano fue el que las hizo vulnerables, aqui el culpable fue el idiota que creo las brain wallets.. a veces me pregunto si es que lo hizo a proposito. Culpa tambien la tiene la gente por usar wallets sin saber como estan protegidas etc... Pero bueno que mas se le puede hacer.

[famososMuertos]

Y...bueno, mejor ignorante, o pruebas, etc. fíjate el Colega, el idiota más reciente  entonces.

Creo que como comunidad los que nos puede acercar a esos "idiotas" es ser informativos, y aceptar que los errores están siempre latentes.

De una u otra manera todos pasamos por esa etapa de ignorantes en cualquier área, salir de ahí es una prioridad individual.

Dicen por estos lares el idiota no nace se hace...

[DdmrDdmr]

Mirando algo más acerca de la bondad maldad de las brainwallets, si alguien quiere ver una lista amplia de casos, en este post se da acceso a una lista de 18.509 casos que encontró el usuario, y eso que eran passphrases de una sola palabra. No se ven las palabras de buenas a primeras en la lista,y y hay que entrar caso a caso para verlas. También es cierto que en el hilo se sospecha que muchos casos parecen tener los mismos importes y cantidad de TXs, siguiendo un patrón no del todo natural.

En este otro post dentro del mismo hilo, se apunta a una web donde sí se ven fácilmente las passphrases de 19,698 casos que no parecen a simple vista tan triviales en muchos de los casos listados, y de ahí la falsa confianza que lleva a situaciones desagradables.

[Silberman]

Y...bueno, mejor ignorante, o pruebas, etc. fíjate el Colega, el idiota más reciente  entonces.

Creo que como comunidad los que nos puede acercar a esos "idiotas" es ser informativos, y aceptar que los errores están siempre latentes.

De una u otra manera todos pasamos por esa etapa de ignorantes en cualquier área, salir de ahí es una prioridad individual.

Dicen por estos lares el idiota no nace se hace...

Pues es cierto que nadie nace sabiendo y toda persona tiene que pasar por el largo y duro proceso del aprendizaje, pero realmente a veces quisiera que las personas no fuesen tan crédulas e inocentes, después de todo incluso alguien que no supiese nada de este mercado podría encontrar al menos dos problemas en la descripción de tal software, lo suficiente para saber que esto es alguna clase de truco y que es mejor para ellos mantenerse alejados de esa supuesta oportunidad de hacer dinero fácil.

[seoincorporation]

Mirando algo más acerca de la bondad maldad de las brainwallets, si alguien quiere ver una lista amplia de casos, en este post se da acceso a una lista de 18.509 casos que encontró el usuario, y eso que eran passphrases de una sola palabra. No se ven las palabras de buenas a primeras en la lista,y y hay que entrar caso a caso para verlas. También es cierto que en el hilo se sospecha que muchos casos parecen tener los mismos importes y cantidad de TXs, siguiendo un patrón no del todo natural.

En este otro post dentro del mismo hilo, se apunta a una web donde sí se ven fácilmente las passphrases de 19,698 casos que no parecen a simple vista tan triviales en muchos de los casos listados, y de ahí la falsa confianza que lleva a situaciones desagradables.

Tenía claro que las BrainWallets representan una vulenrabilidad, pero casi 20,000 direcciones vulneradas es una total locura.

Cabe aclarar que muchas de esas brain wallets fueron usadas para trivias, personalmente regalé bitcoins de esta manera en el pasado, sin embargo se que hay muchas personas que realmente perdieron su dinero de esta manera, y asi aprendemos otra de esas no tan baratas lecciones de seguridad.

Y yo no culparía al creador de las brain wallets, considero que su aporte es muy bueno si se usa de la manera correcta. Pero a la gente le encata disfrutar los nuevos juguetes antes de leer las instrucciones de uso.

[Drawesome]

Y yo no culparía al creador de las brain wallets, considero que su aporte es muy bueno si se usa de la manera correcta. Pero a la gente le encata disfrutar los nuevos juguetes antes de leer las instrucciones de uso.

Yo tampoco lo culpo ni creo que sea un error. De hecho creo que son pasos necesarios en la evolución a un sistema amigable. ¿Puede que el sistema de diccionario de BIP39 se inspirara de alguna forma en las brainwallets y lo quisiera mejorar?

En sí mismo: una frase larga generada de manera segura por tí para memorizar y además encriptado con otra passphrase es más que seguro