Wallets cripto en riesgo tras un ataque a la cadena de suministro de software. Un silencio incómodo recorrió ayer la comunidad de desarrollo cuando se descubrió que versiones maliciosas de librerías centrales de NPM habían sido publicadas tras el pwned del mantenedor conocido como Qix. Lo que parecía una actualización rutinaria se convirtió en una puerta trasera que pudo comprometer monederos y proyectos cripto, así como decenas de miles de aplicaciones que dependen de esas dependencias mínimas.
Ataque a wallets cripto
Este incidente no solo recuerda lo frágil que puede ser la cadena de suministro del software moderno, sino que también revela cómo un atacante, con acceso a una sola cuenta de mantenedor, puede escalar su impacto hasta afectar activos digitales reales, claves privadas y la confianza del ecosistema.
La vulnerabilidad (calificada como grave) ha llamado la atención de personalidades como el CTO de Legder, Charles Guillemet, quien aviso que los usuarios deben tener especial cuidado en usar sus monederos mientras la situación es subsanada. Y tiene razones, después de todo el problema de seguridad potencialmente puede afectar a monedero como MetaMask, o cualquier monedero que use tecnologías Web relacionadas con Nodejs.
LA SEGURIDAD DE BITCOIN PENDE DE UN HILO, SEGÚN JUSTIN DRAKE, DEV DE ETHEREUM
Contexto técnico y alcance del problema
Las librerías implicadas, entre las que destacaron debug y chalk, son paquetes pequeños pero muy utilizados en el ecosistema Node.js. Por ejemplo, debug ofrece utilidades para el registro (logging) con diferentes namespaces, lo que permite a los desarrolladores activar trazas específicas sin intervenir el código de producción.
En el otro caso, chalk se utiliza para colorear la salida en terminales, facilitando la legibilidad de logs y mensajes en CLIs. Su popularidad radica en que son dependencias transitorias en innumerables proyectos: desde herramientas de desarrollo y scripts de construcción hasta servidores y extensiones de navegador que, directa o indirectamente, terminan en aplicaciones que manejan activos digitales.
En total, el ataque afecto una gran lista de paquetes entre los que están:
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
- [email protected]
Inicio del ataque
El ataque, según los hallazgos iniciales, comenzó con la toma de control (pwned) de la cuenta de un desarrollador con privilegios de publicación, identificado en los reportes como Qix (Josh Junon). El adversario explotó las credenciales o la sesión del mantenedor y publicó versiones troceadas de paquetes legítimos, insertando payloads maliciosos.
Estas versiones fueron rápidamente descargadas por proyectos que confiaban en la cadena de dependencias, lo que permitió al código malicioso propagarse por multitud de repositorios y paquetes ya empaquetados, desplegados y, en algunos casos, integrados en builds de monederos y servicios relacionados con criptoactivos.
SIEMENS Y MINIMA IMPULSARÁN LA SEGURIDAD DE GEMELOS DIGITALES CON BLOCKCHAIN
Cómo funciona el malware en paquetes NPM y por qué es peligroso
El mecanismo más utilizado por atacantes que comprometen paquetes NPM es la inserción de código que se ejecuta en tiempo de instalación (scripts postinstall) o en tiempo de ejecución (código al require/import). Un postinstall malicioso puede ejecutar comandos arbitrarios en las máquinas de quienes instalan el paquete, exfiltrando variables de entorno, archivos locales o instalando puertas traseras adicionales.
Cuando el código malicioso está en el path de ejecución, por ejemplo, en librerías que terminan incorporadas en bundles front-end, puede enviar peticiones a servidores controlados por el atacante, filtrar datos del entorno de ejecución o interceptar funciones críticas.
En el caso específico que aquí se analiza, el malware aprovechó la ubicuidad de debug y chalk para obtener ejecución dentro de múltiples contextos: herramientas de desarrollo, backend y, crucialmente, builds que sirven código a clientes o extensiones. Si una wallet o extensión de navegador incorpora inadvertidamente una versión comprometida en su bundle final, el atacante puede insertar código que detecte y exfiltre semillas, claves privadas o frases mnemónicas, o que manipule la interfaz de firma para redirigir transacciones hacia direcciones controladas por el atacante.
Pero debido a la rápida detección del fallo, el daño final ha sido mínimo, y de hecho, en Arkham ya hay una web rastreando las direcciones del atacante, y en la que podemos ver que ha podido hacerse con unos 500 $ en valor. Sin embargo, dado el alcance y el nivel de ataque, de no haberse descubierto de forma rápida, las perdidas totales hubieran sido mucho mayores. Aunque, por supuesto, esto no elimina la posibilidad de que la suma final sigue incrementándose en los próximos días, sobre todo si los desarrolladores y usuarios no toman medidas para subsanar esto.
Riesgos específicos para proyectos cripto y wallets
Los proyectos de monedero, como MetaMask y otros wallets basados en JavaScript, suelen depender de ecosistema NPM para utilidades, construcción de interfaces y manejo de comunicaciones con nodos de blockchain. Aunque no es necesariamente directo que MetaMask o un wallet específico haya sido comprometido por este incidente, la relación es clara: dependen de cadenas de dependencia que incluyen paquetes como debug.
Si una build contiene una dependencia troceada, el código malicioso puede ejecutar tareas como la lectura del almacenamiento local donde se guardan fragmentos de las frases mnemónicas, la inyección de formularios falsos para capturar entradas del usuario o la manipulación de las librerías de Web3 para redirigir transacciones.
Más allá del robo directo de claves, existen riesgos de integridad y disponibilidad: una librería comprometida puede introducir lógica que ocasione transacciones no autorizadas, sabotee firmas, degrade la encriptación local o cree puertas traseras persistentes que permitan futuros ataques. Además, la reputación de proyectos centrales del ecosistema puede verse dañada, afectando a la confianza de usuarios y empresas, lo que a su vez repercute en la adopción y en la economía alrededor de esos servicios.
HACKERS NORCOREANOS CREAN EMPRESAS FALSAS EN EEUU PARA ATACAR AL SECTOR CRIPTO
La importancia de gestionar la seguridad digital
En todo caso, el incidente que partió del pwned de la cuenta de Qix y derivó en versiones maliciosas de paquetes tan populares como debug y chalk, demuestra que la seguridad del software moderno es un problema sistémico. No se trata solo de parchear vulnerabilidades puntuales, sino de repensar cómo confiamos en piezas de código que no controlamos directamente.
Para proveedores de monederos, desarrolladores y usuarios, la llamada a la acción es clara: adoptar prácticas de seguridad de cadena de suministro, prevenir el uso indiscriminado de dependencias sin auditoría, y colocar la protección de claves y activos digitales como prioridad máxima. Solo con una combinación de mejores prácticas operativas, herramientas de detección y una cultura de seguridad compartida será posible reducir el riesgo de que un único account takeover vuelva a poner en jaque a toda una industria.