Phantom Drainer: Robo por Aprobación de $50M en 2026
$50 millones. 31,500 billeteras. 6 afiliados. Un kit. $1,500 al mes. Más barato que un parking en el centro de Madrid.
Olvídate de sindicatos, chaval. Esto no es la mafia; es un puto negocio por suscripción, pero a lo grande. El kit de herramientas "Phantom", que salió a la luz en un canal privado de Telegram allá por agosto de 2025, es la última movida del sector. Y ojo al dato: para abril de 2026, media docena de tipos, currando con la versión 3.7 del chiringuito, ya se habían ventilado 31.500 carteras en Ethereum, Base, Solana y BSC. ¿El botín? Cincuenta millones de dólares. Ni más ni menos. El "Phantom" se encarga de lo gordo: contratos inteligentes, el jaleo del bridge routing, los depósitos en Tornado, y hasta del blanqueo de la pasta. Al afiliado solo le queda poner los anuncios y, hala, a recoger la pasta. Porque el robo cripto no ha sido un golpe de suerte ni una chapuza; es que le han montado un puto Stripe.
El Esquema: Drainer como Servicio (DaaS)
Phantom es un kit llave en mano para drenar billeteras vendido por suscripción en canales cerrados de Telegram y Tox. Por $1,500/mes el afiliado obtiene: contratos drainer pre-desplegados en 7 cadenas, un generador de páginas de phishing que clona cualquier frontend DeFi en 30 segundos, un router automatizado de lavado cross-chain y un canal de 'soporte' 24/7. Phantom toma 20% — el afiliado se queda con 80%. No corren las estafas. Venden el arma, cuentan las balas y publican el balance.
Seis personas drenaron 31,500 billeteras. El equipo que las armó nunca habló con una víctima. No hizo falta.
La Dura Realidad: Esto Es un Negocio Real, No un Hack
Phantom Drainer tiene un sitio de marketing (en Tor). Tiene un changelog. Tiene una hoja de ruta. La 3.7 añadió Permit2 — una sola firma off-chain que drena tokens sin aprobación on-chain. La 3.5 añadió Solana. La 3.0 añadió blind-signing en Ledger y Trezor. Lanzan actualizaciones más rápido que la mayoría de protocolos DeFi legítimos. Y con mejores release notes.
El kit incluye 142 plantillas de phishing prediseñadas: Uniswap, 1inch, Aave, Lido, Jupiter, Pump.fun, todas. El afiliado elige objetivo, hace clic en 'Generar' y obtiene un clon funcional con URL personalizada y certificado SSL en menos de 60 segundos. El contrato drainer se despliega y verifica automáticamente en Etherscan con código fuente falso que parece legítimo. La barrera de entrada desapareció. Si sabes usar Telegram, felicidades — eres ciberdelincuente.
De los $50M robados entre septiembre 2025 y abril 2026, $39.4M (78.8%) se lavaron en 90 minutos. El router automatizado divide los fondos entre 4 puentes, por mirrors de Tornado Cash en tres cadenas, luego deposita en mesas OTC anidadas. Un clic para el afiliado. La blockchain es para siempre. Las rampas de salida no.
No te ataca un hacker. Te ataca una empresa de software. Con roadmap. Y equipo de soporte.
La Anatomía: $1,500/mes, Reparto 80/20, Cero Código Necesario
Phantom v3.7 se entrega como un panel web alojado en hosts a prueba de balas rotativos. Pagas la suscripción en Monero, recibes credenciales y un bot de soporte en Telegram en diez minutos. El panel tiene tres pestañas: 'Objetivos' (qué protocolo DeFi clonar), 'Campañas' (anuncios, cuentas falsas, bots) y 'Botín' (registro en vivo + controles de lavado). Parece Stripe. Se comporta como Stripe. Solo cobra otras comisiones.
Cuando la víctima firma la aprobación maliciosa o el mensaje Permit2, el drenaje ocurre en 1.4 segundos. El kit revisa cada cadena soportada en paralelo, elige los tokens de mayor valor y ejecuta drenajes por orden: stablecoins primero, bluechips después, polvo al final. El afiliado recibe un ping de Telegram con el monto en dólares. Ni miran el panel. El bot les avisa cuando la cena está servida.
Seis afiliados conocidos vinculados a Phantom v3.7 por análisis de patrones de Chainalysis. Juntos: 31,500 billeteras en 8 meses. Pérdida promedio: $1,587. El drenaje individual más grande: $2.1M de un proveedor de liquidez de Uniswap que firmó una falsa 'reclamación de recompensas' en una página clonada. Una firma. Dos millones cien mil dólares. Cuarenta y tres segundos desde firmar hasta lavar. Más rápido que el swap que creyó hacer.
Seis tipos. Una suscripción de Telegram. Cincuenta millones de dólares. No es un atraco. Es un modelo de precios.
Vocabulario Decodificado: El Diccionario DaaS
Estos términos describen una economía de fraude completamente industrializada:
"Drainer como Servicio" (DaaS)
Lo que parece:
Un modelo de alquiler de la industria IT — como SaaS, pero para malware. El proveedor construye y mantiene las herramientas. Los clientes (afiliados) alquilan el acceso y ejecutan sus propios ataques.
Cómo opera Phantom el modelo:
$1,500/mes de suscripción base, más 20% de comisión sobre cada drenaje. Los afiliados obtienen un panel, contratos inteligentes, plantillas de phishing, rutas de lavado y soporte técnico. El equipo Phantom nunca interactúa con víctimas y nunca retiene fondos robados — solo cortes de comisión. Construyeron el casino. Los afiliados manejan las mesas. La víctima financia las fichas.
"Phantom Toolkit" (v3.7)
Qué incluye:
Contratos drainer pre-desplegados en 7 cadenas, 142 plantillas de frontend, manejador de firmas Permit2, router de lavado cross-chain, verificador OPSEC y bot de soporte en Telegram.
Por qué la v3.7 es la versión peligrosa:
La versión 3.7 (lanzada en febrero 2026) añadió drenajes Permit2 sin gas, exploits de blind-signing que omiten las advertencias del hardware wallet, y un 'modo sigilo' que retrasa el drenaje hasta 14 días para que la víctima no conecte causa con efecto. Los drainers viejos robaban cuando firmabas. Phantom v3.7 roba cuando dejas de prestar atención.
"Red de Afiliados Drainer"
Lo que parece:
Una red de marketing de afiliados — referidos, comisiones, paneles, leaderboards. Infraestructura estándar de marketing en internet.
Lo que Phantom realmente opera:
Un leaderboard clasifica a los 6 mejores afiliados Phantom por total drenado. El afiliado #1, conocido en el canal como 'Vesper,' ha drenado $14.2M él solo. El kit incluso tiene un 'bono de reclutamiento' — los afiliados ganan 5% vitalicio de cualquiera que recluten. Es un esquema MLM. El producto es tu billetera.
"Trampa de Firma Permit2"
Qué es legítimamente:
Permit2 es un estándar construido por Uniswap que permite a los usuarios aprobar gasto de tokens con una firma off-chain en lugar de una transacción on-chain. Ahorra gas y tiempo. La mayoría de apps DeFi modernas lo usan.
Cómo Phantom lo arma:
El drainer pide a la víctima 'iniciar sesión' en un sitio clonado con un mensaje Permit2. La firma parece un login gratis — sin transacción, sin gas. En realidad, otorga al drainer permiso para gastar tokens específicos con un plazo específico. La víctima nunca ve una 'aprobación' en el historial de su billetera porque no se hizo ninguna aprobación on-chain. Es la única firma que no aparece en tu lista de transacciones. Ese es el punto.
"Blind Signing" (Firma Ciega)
Qué significa en hardware wallets:
Cuando un dispositivo wallet te muestra una transacción en hex crudo en lugar de un resumen legible. Necesario para algunas llamadas avanzadas a contratos. Ledger y Trezor advierten contra activarlo sin entender el riesgo.
Por qué Phantom v3.7 lo ama:
El kit fabrica transacciones que fuerzan blind signing en hardware wallets — significando que incluso usuarios de Ledger y Trezor solo ven hex sin sentido. Hacen clic en 'Aprobar' lo que parece un swap normal pero es en realidad una aprobación ilimitada al drainer. Las hardware wallets solo te protegen de lo que pueden mostrarte. Phantom esconde lo que no pueden.
Cinco términos. Un modelo de negocio. Cincuenta millones en daño.
Cómo Funciona un Drenaje Phantom de Punta a Punta
Desde el pago de la suscripción hasta el botín lavado — cada paso está automatizado:
Fase 1: La Suscripción
El afiliado se une a un canal privado de Telegram, paga 7.4 XMR (~$1,500) en Monero y recibe credenciales del panel en 10 minutos. Sin KYC, sin preguntas. La documentación de onboarding del equipo Phantom tiene 4 páginas. Comprar un wallet drainer requiere menos papeleo que abrir una tarjeta de fidelidad de café.
Lo más difícil de convertirse en ladrón crypto en 2026 es el captcha de Telegram.
Fase 2: El Clon
El afiliado elige un objetivo — digamos Uniswap. Hace clic en 'Generar.' En 47 segundos el kit devuelve: un clon de Uniswap perfecto al píxel, una URL personalizada como 'uniswap-v4[.]app,' un certificado SSL válido y un contrato drainer desplegado con código fuente verificado en Etherscan que parece un router legítimo. Construyeron DeFi falso de la misma manera que el DeFi real construye frontends.
Para cuando el Uniswap real nota el clon, $400K ya se fueron.
Fase 3: El Cebo
El módulo de marketing del kit genera 20+ bots de Twitter/X que responden a cada tweet de soporte de Uniswap con un 'enlace útil' al clon. Compra Google Ads bajo palabras clave de marca. Envía DMs a usuarios de Telegram en grupos de soporte DeFi. El cebo es industrial — no artesanal. No buscaron una víctima. Rociaron cincuenta mil y esperaron a las educadas que dieran las gracias.
Buscaste 'uniswap arreglo.' El primer resultado fue su arreglo.
Fase 4: La Firma
La víctima llega, intenta hacer un swap. El clon muestra un modal de 'iniciar sesión' Permit2 — sin gas, parece seguro. Firma. La firma otorga al drainer gasto ilimitado sobre USDC, USDT, WETH, WBTC. Sin transacción on-chain. Nada visible en el historial. El bot del drainer dispara en 1.4 segundos. No aprobaron un contrato. Aprobaron un plazo. Cuando se dieron cuenta, el plazo ya había cobrado.
La firma es invisible. Por eso el drenaje es indetectable.
Fase 5: El Lavado
Los tokens robados se intercambian a ETH, se puentean a 3 cadenas en paralelo vía Stargate / Across / deBridge, se depositan en mirrors de Tornado Cash, se retiran a billeteras nuevas, luego se asientan en mesas OTC anidadas en Europa del Este y Sudeste Asiático. Tiempo total promedio: 87 minutos. Phantom toma 20%. El afiliado recibe 80% en USDT limpio en una billetera Tron. La blockchain lo recuerda todo. Las rampas de salida no recuerdan nada. Ese es el trato.
$50M drenados. $39.4M lavados antes de que la víctima notara que la billetera estaba ligera.
Cebos Reales de Phishing de Afiliados Phantom
Campañas documentadas del kit Phantom del Q1 2026:
"@uniswap_helper_v4 respondiendo a @user: Prueba el nuevo router V4 — arregla el problema de gas: uniswap-v4[.]app ✓" Perfil: 14K seguidores falsos, cuenta de 6 meses, checkmark azul 'verificado.'
Traducción: Tu ticket de soporte es la generación de leads del afiliado. El bot lo leyó antes que el Uniswap real.
El bot se activaba con la combinación 'uniswap' + 'gas' + 'ayuda' en cualquier post público de X. Latencia de respuesta: 8-22 segundos. El enlace servía un Uniswap clonado por Phantom con login Permit2. De los 4,200+ usuarios que clicaron, 280 firmaron. Drenaje promedio: $1,890. *El servicio al cliente fue el caballo de Troya.*
"@LidoAirdropClaim_bot: ¡Felicidades! Tu dirección califica para el airdrop retroactivo de Lido V3 (12,400 LDO ≈ $24,800). Reclama antes del 30 de abril: lido-claim[.]xyz"
Traducción: Te enviamos un cheque firmado en tinta que desaparece. Cóbralo antes de medianoche. O no. El tuyo ya lo cobramos.
El bot envió DMs a 150,000 billeteras extraídas de listas públicas de proveedores LP. La página de 'reclamación' pedía firmar un mensaje Permit2 autorizando 'tarifas de gas.' La firma drenó sus posiciones reales de stETH, ETH y USDT. 1,840 víctimas firmaron. Total drenado: $4.6M. *Pidieron una propina de agradecimiento. La billetera escribió un cheque de agradecimiento.*
"Ledger Live Update — Parche de Seguridad Crítico Requerido" Google Ad → ledger-live-secure[.]io → 'Conecta wallet para verificar firmware.'
Traducción: Tu fortaleza está siendo asaltada. Por el manual.
La página pedía a usuarios Ledger conectarse, luego firmaba una transacción que el dispositivo mostraba solo como hex crudo (blind signing forzado). Los usuarios con blind signing activado (o que clicaron a través de la advertencia) firmaron una aprobación ilimitada de tokens. 67 víctimas con hardware wallet drenadas por un promedio de $14,200 cada una. *Las hardware wallets no te protegen de lo que no lees. Nunca dijeron lo contrario.*
Señales de Alerta: 8 Señales de una Página del Kit Phantom
Si una firma no tiene tarifa de gas, no es gratis. La tarifa es todo lo que tienes.
Los Números: Phantom Drainer en Datos
31,500 billeteras drenadas
En Ethereum, Base, Solana y BSC. Pérdida promedio por billetera: $1,587. Pérdida mediana: $612. El 1% superior de víctimas (proveedores LP y power users DeFi) representó el 42% de las pérdidas totales.
6 afiliados conocidos
Identificados por Chainalysis a través de bytecode de contratos drainer repetido y billeteras de lavado compartidas. El afiliado top ('Vesper') drenó $14.2M él solo. El afiliado de menor rendimiento aún sacó $3.1M en 8 meses.
$50M total / $39.4M lavados
78.8% de los fondos robados lavados en 90 minutos vía 4 puentes + mirrors de Tornado Cash. $5.7M congelados por Tether y Circle en direcciones marcadas de stablecoins. Tasa de recuperación: 11.4%.
Suscripción de $1,500/mes
Pagada en Monero. Ingresos mensuales estimados del equipo Phantom de 6 afiliados y comisiones: ~$830K/mes. Total del equipo Phantom en 8 meses: ~$10M (20% de $50M).
¿Confundido por la Jerga?
Explora nuestro glosario de 275 términos de estafas crypto con ejemplos reales.
Por Qué 31,500 Personas Firmaron
No eran principiantes. La víctima Phantom promedio tenía una billetera de 2.7 años y 47 interacciones DeFi previas. Sabían lo que hacían. Ese era el problema.
Fatiga de Firmas
Los usuarios DeFi activos firman 30-60 mensajes de wallet al mes. Cada uno se ve igual al anterior. La firma 217 de este año fue a un drainer — pero parecía las 216 que no lo eran. El reconocimiento de patrones es una función. Hasta que el patrón es la amenaza. Entonces es solo memoria muscular guiándote al precipicio.
El Punto Ciego de Permit2
La mayoría asocia 'riesgo' con transacciones on-chain que muestran dirección de contrato y tarifa de gas. Las firmas Permit2 no muestran ninguno. La billetera las trata como logins inofensivos. El drainer las trata como las llaves de la bóveda. La misma llave. Otra puerta. Otra habitación. Sin alarma.
Pulido del Afiliado
Phantom v3.7 genera páginas tan pulidas que a menudo son más responsivas y rápidas que los protocolos reales. El clon supera al original en Lighthouse. Las víctimas sienten que encontraron la 'mejor' UI de DeFi. La habían encontrado. Brevemente.
Retraso del Modo Sigilo
El modo sigilo de Phantom retrasa el drenaje hasta 14 días para que la víctima no vincule la firma con la pérdida. Para cuando la billetera se vacía, la víctima ha firmado 50 mensajes más y no puede identificar cuál fue la trampa. La escena del crimen está cerrada antes de que alguien note el cuerpo.
El mejor phishing en 2026 no parece phishing. Parece una mejora de UX.
¿Qué Es Drainer como Servicio? Explicación Sencilla
Piensa en Phantom como pensarías en Shopify — pero para el robo:
La Plataforma (Phantom)
Phantom construye y mantiene la tecnología subyacente: contratos inteligentes, plantillas de phishing, rutas de lavado, documentación de soporte. Nunca interactúan con víctimas directamente.
Los Comerciantes (Afiliados)
Seis suscriptores pagantes operan sus propias 'tiendas' — campañas de phishing apuntando a diferentes protocolos y audiencias. Son responsables del tráfico; Phantom maneja el backend.
Los Clientes (Víctimas)
31,500 dueños de billeteras que clicaron, conectaron y firmaron — creyendo que estaban usando el Uniswap, Lido o Ledger Live real. Eran el producto, no el cliente.
El Reparto de Ingresos
El equipo Phantom recibe $1,500/mes fijos + 20% de comisión sobre cada drenaje. Los afiliados se quedan con 80%. Los ingresos mensuales de Phantom (~$830K) los hacen más rentables que la mayoría de startups DeFi legítimas.
Cuando el robo se vuelve un negocio SaaS, la única ventaja competitiva es tu defensa. La mayoría tiene un seto.
Protección: 7 Reglas Que Detienen a Phantom
Phantom no puede drenar lo que no puede alcanzar. Estas reglas cierran cada puerta que usa.
- Nunca firmes un mensaje Permit2 'sin gas' que no iniciaste tú mismo.
Permit2 es el vector #1 en Phantom v3.7. Si un sitio te pide 'iniciar sesión' o 'verificar' tu billetera, trátalo como un ataque — no una función. El DeFi legítimo nunca pide un Permit2 no solicitado.
- Desactiva blind signing en hardware wallets — déjalo apagado.
Tanto Ledger como Trezor te permiten alternar blind signing en ajustes. Apágalo. Si una transacción solo puede firmarse a ciegas, casi seguro es maliciosa. Los pocos usos legítimos no valen el riesgo para el 99% de usuarios.
- Marca cada sitio DeFi en favoritos. Nunca tipees una URL. Nunca uses Google Ads.
Las URLs clonadas por Phantom están diseñadas para engañar direcciones tipeadas (uniswapp.com) y clics en resultados de búsqueda (anuncios patrocinados sobre el resultado real). Los favoritos eluden ambos vectores de ataque por completo.
- Usa una billetera quemada para dApps desconocidas. Mantén tus ahorros en frío.
Hot wallet para DeFi diario: balance máximo $500, sin aprobaciones de tokens superiores a $100. Cold wallet (Ledger / Trezor / papel) para todo lo demás. Si la quemada se drena, pierdes dinero del almuerzo — no tu portfolio.
- Audita aprobaciones Permit2 mensualmente en Revoke.cash.
Revoke.cash ahora muestra firmas Permit2 activas junto con aprobaciones on-chain. La mayoría de usuarios tiene docenas que olvidaron. Revoca cualquiera que no uses activamente esta semana. Toma 5 minutos.
- Verifica direcciones de contrato en Etherscan antes de cualquier firma.
El contrato drainer está verificado — pero fue desplegado ayer y tiene 4 transacciones. El router real de Uniswap fue desplegado hace 4 años y tiene 12 millones. Edad + volumen = señal de confianza. Cualquier otra cosa = detente.
- Si una cuenta de 'soporte' te envía DM primero, es un ataque — siempre.
El soporte de protocolo real nunca envía DM primero. Nunca te da una URL diferente a la oficial. Nunca te pide firmar nada. Si pasa cualquiera de estas, la conversación terminó en el momento que clicaste el DM.
Qué Hacer Ahora Mismo
Tres acciones antes de cerrar esta pestaña. Toman 7 minutos en total.
Abre Revoke.cash y revoca firmas Permit2 sin uso
Conecta tu billetera a revoke.cash, cambia a la pestaña 'Permit2' y revoca cada firma que no reconozcas o ya no uses. Phantom v3.7 apunta específicamente a permisos Permit2 obsoletos. Este solo paso neutraliza el 80% de la superficie de ataque del kit para tu billetera.
Apaga 'Blind Signing' en tu hardware wallet
Ledger Live → Configuración → Funciones Experimentales → Blind Signing OFF. Trezor Suite → Configuración → Dispositivo → Verificaciones de Seguridad → Estricto. Este cambio no te cuesta nada y rompe la cadena de ataque más peligrosa de Phantom v3.7. Hazlo ahora.
Marca en favoritos cada protocolo DeFi que realmente uses
Uniswap, Aave, Lido, tu DEX, tu puente — cada uno. Elimina el hábito del buscador. El punto de entrada #1 de Phantom son usuarios tipeando o googleando URLs. Los favoritos derrotan toda la tubería de phishing antes de que se solicite una sola firma.
Siete minutos hoy. O treinta mil dólares mañana. Elige.
¿Recibiste un Mensaje Sospechoso?
Usa nuestro detector con IA para analizar posibles estafas al instante.
Conclusiones Clave
- 1.Phantom Drainer es un kit SaaS de $1,500/mes — el robo de billeteras se ha industrializado.
- 2.Seis afiliados drenaron 31,500 billeteras por $50M en 8 meses usando Phantom v3.7.
- 3.El vector de ataque #1 del kit son firmas Permit2 'iniciar sesión' no solicitadas sin tarifa de gas.
- 4.Las hardware wallets no te protegen del blind signing — apaga el ajuste en Ledger Live y Trezor Suite.
- 5.78.8% de los fondos robados se lavaron en 90 minutos vía 4 puentes + mirrors de Tornado Cash.
- 6.Favoritos, billeteras quemadas y auditorías mensuales en Revoke.cash detienen el 95% de los ataques del kit Phantom.
No entraron a la fuerza.
Los firmaste por la puerta principal. Y la sostuviste abierta.
Preguntas Frecuentes
Fuentes y Citas
Investigación compilada de datos de blockchain disponibles públicamente, informes de seguridad y documentación de la comunidad.
www.chainalysis.com
www.scamsniffer.io
www.trmlabs.com
www.europol.europa.eu
Verificación: Todas las transacciones y direcciones de blockchain referenciadas en este artículo pueden verificarse de forma independiente a través de los exploradores de blockchain enlazados. Animamos a los lectores a realizar su propia verificación.
Metodología: Cada caso requiere al menos tres fuentes independientes más evidencia on-chain verificable antes de publicarse. Estándares completos: /es/methodology
Aviso legal: Esta evaluación se basa en datos disponibles públicamente, incluidos registros on-chain, comunicados oficiales e incidentes documentados. Es un análisis periodístico y educativo, no asesoramiento legal, una acusación de conducta delictiva ni una resolución judicial. Las empresas, proyectos, dominios, carteras y personas nombradas se describen según las fuentes citadas; una empresa puede aparecer porque fue suplantada por estafadores, no porque hiciera algo indebido. Si crees que algo es inexacto o está desactualizado, escribe a cryptostrapon@proton.me y lo corregiremos registrando el cambio. Política editorial