Qué encontramos
- Abrir el menú cash y buscar withdraw (retirar).
- Pulsar max (importe máximo) y continue.
- Rellenar el campo Solana wallet address con una dirección incluida en el código.
- Marcar la casilla de advertencias de retirada y pulsar review y confirm withdraw.
Evidencias
- Leímos el bookmarklet del botón real de instalación y resolvimos estáticamente sus cadenas ofuscadas.
- El app.js de la página codifica el bloque bookmarklet-src en el enlace de instalación, vinculando el código con el bookmarklet distribuido.
- Las preguntas frecuentes afirman que la herramienta solo lee la página y no puede tocar fondos, pero el código contiene las acciones de retirada descritas.
Método: inspección del código y análisis estático. No ejecutamos el bookmarklet ni iniciamos transacciones. Confirmamos lo que el código intenta hacer, no una retirada exitosa ni la identidad del propietario de la dirección.
Si ya lo encontraste
Solo visitaste la página
El hallazgo afecta a la ejecución del bookmarklet. No demuestra que visitar la página por sí solo transfiera fondos.
Guardaste el marcador sin ejecutarlo
Elimina el marcador y no lo pulses en FOMO.
Lo ejecutaste en FOMO
Cierra o recarga la página afectada y elimina el marcador. Revisa el saldo, las retiradas y las solicitudes pendientes. Conserva los registros de cualquier transacción anómala y contacta con el soporte oficial de FOMO.
Huella del código
SHA-256 del código del bookmarklet en el momento de la revisión, solo para comparar. No se distribuye el script ejecutable.
d5a69e74b47bc7c5033ef098913bbbce72869928380753a980efa03f3f7ff996Dirección incluida en el código
8B3eeYhQyZXSAXJG5KVe4qVV8yx6cJnKLTFt7TD4kZoo