Durante los últimos días, el equipo CTI de CronUp Ciberseguridad ha identificado un aumento relevante en el registro y activación de dominios asociados a Clawdbot (ahora conocido como Moltbot), lo que sugiere la preparación de infraestructura con potencial uso malicioso. La concentración temporal de estos registros responde a patrones comúnmente observados en etapas tempranas de campañas que buscan escalar rápidamente y adaptarse frente a eventuales bloqueos o acciones de mitigación.
Los dominios observados siguen una lógica consistente en nombre y temática, combinando el término clawdbot con referencias genéricas, tecnológicas o comunitarias. Este tipo de proliferación no suele ser casual: es una técnica habitual para ampliar superficie de ataque, aumentar resiliencia operativa y generar múltiples puntos de interacción con potenciales víctimas, especialmente en campañas de fraude digital.
¿Qué es Clawdbot?
Clawdbot, actualmente conocido como Moltbot, es un asistente de inteligencia artificial de código abierto creado por Peter Steinberger. A diferencia de los chatbots tradicionales basados en la nube, Moltbot está diseñado para ejecutarse localmente, con integración profunda al sistema operativo del usuario. Puede interactuar con aplicaciones como clientes de correo y mensajería, acceder al sistema de archivos, mantener memoria persistente, ejecutar tareas programadas y operar de forma continua.
Estas capacidades, sumadas a su facilidad de instalación y a la posibilidad de alojarlo en hardware dedicado, han impulsado una adopción extremadamente rápida. En pocas semanas, Moltbot se volvió viral en comunidades técnicas y de entusiastas, llegando incluso a impactar la demanda de dispositivos como Mac Mini utilizados como servidores dedicados para el asistente.
De asistente de IA local a riesgo operativo no gobernado
La evidencia preliminar recolectada hasta ahora sugiere que esta infraestructura podría estar orientada a fraude en ecosistemas Web3, particularmente a esquemas conocidos como crypto drainers. Estas campañas buscan inducir a los usuarios a interactuar con sitios aparentemente legítimos, como supuestos proyectos, programas de vesting, marketplaces o lanzamientos exclusivos, con el objetivo de que firmen transacciones maliciosas que terminan vaciando sus billeteras digitales.
Los principales afectados por este tipo de operaciones suelen ser usuarios de criptomonedas, comunidades Web3, organizaciones que operan activos digitales y marcas cuya identidad puede ser utilizada como señuelo para generar confianza. Más allá del impacto financiero directo, estas campañas generan un daño significativo en términos de reputación y confianza, tanto a nivel individual como organizacional.
Exposiciones técnicas, abuso de infraestructura y efecto cadena
De forma paralela al registro masivo de dominios, CronUp Ciberseguridad ha identificado infraestructura adicional que refuerza esta hipótesis. Se han observado sitios y subdominios vinculados a conceptos como ATG, vesting y supuestos mercados digitales, algunos de ellos desplegados sobre plataformas legítimas de hosting o desarrollo rápido. Este enfoque híbrido, que combina servicios confiables con fines maliciosos, es una tendencia creciente en campañas de fraude cripto.
Asimismo, se han detectado cuentas en la red social X que utilizan nomenclaturas alineadas con Clawdbot, lo que sugiere intentos de amplificación y derivación de tráfico hacia los activos identificados. El uso coordinado de redes sociales continúa siendo un vector clave para dotar de legitimidad aparente a este tipo de operaciones, especialmente en fases iniciales.
Si bien parte de esta información aún se encuentra en proceso de análisis y correlación, el conjunto de indicadores observados, registro acelerado de dominios, despliegue de infraestructura Web3 y presencia activa en redes sociales, apunta a una operación que podría activarse o escalar en el corto plazo. Este tipo de señales tempranas son especialmente relevantes, ya que permiten anticipar campañas antes de que alcancen una fase de impacto masivo.
Crypto drainers detectados
- https://clawdbotatg[.]com
- https://clawd-pfp-market.vercel[.]app
Monitoreo de dominios.
Cuando la adopción supera al control: impacto real para empresas
Desde CronUp Ciberseguridad nos encontramos monitoreando activamente esta actividad, recolectando indicadores técnicos, analizando la infraestructura asociada y correlacionando esta información con campañas previas observadas en el panorama de amenazas. Este enfoque de monitoreo continuo permite reducir la ventana de exposición, generar alertas tempranas y apoyar a las organizaciones en la toma de decisiones informadas frente a riesgos emergentes.
Recomendamos mantener especial precaución frente a interacciones con dominios recientemente registrados, campañas promocionales no verificadas y solicitudes de firma de transacciones provenientes de fuentes no confiables, particularmente en entornos Web3 y criptoactivos.
A medida que este caso evolucione, continuaremos ampliando nuestro análisis y compartiendo información relevante que permita anticipar impactos y fortalecer la postura de seguridad frente a este tipo de amenazas.
Referencias
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
