Ataques a la cadena de suministro: paquetes maliciosos y bibliotecas de billeteras comprometidas

Un ataque a la cadena de suministro cripto se produce cuando los delincuentes comprometen software del que dependen billeteras, apps o sitios web, como un paquete de código abierto, una extensión del navegador o un servidor de actualizaciones, de modo que el código malicioso llega a los usuarios a través de un canal de confianza. Normalmente, el código cambia las direcciones de destino, inyecta un wallet drainer en un sitio web o roba frases semilla, y a menudo las víctimas no hacen nada mal salvo usar un producto en el que ya confían.

Estos ataques importan a todo el mundo en cripto, no solo a los desarrolladores. Las billeteras y apps descentralizadas modernas se construyen con cientos de componentes de terceros, y un solo componente comprometido puede afectar a muchos productos a la vez. Esta guía explica cómo funcionan los ataques, a qué prestar atención y cómo reducir tu exposición como usuario o desarrollador.

Cómo funciona un ataque a la cadena de suministro

La «cadena de suministro» de una app cripto es todo lo que forma parte de ella: bibliotecas de código, herramientas de compilación, proveedores de alojamiento, redes de distribución de contenido y servidores de actualizaciones. Un ataque suele seguir estos pasos:

1. 1Obtener acceso. El atacante hace phishing a un mantenedor de una biblioteca popular, compra un paquete abandonado, adivina una contraseña débil o explota un servidor de compilación.
2. 2Insertar código malicioso. Publica una nueva versión con código oculto, a menudo ofuscado y diseñado para activarse solo en ciertas condiciones, por ejemplo cuando hay una billetera cripto presente.
3. 3Propagarse con las actualizaciones. Las apps que descargan automáticamente la última versión de la biblioteca incluyen el código malicioso en su siguiente compilación o, en el caso de los sitios web, en cuanto se carga el script.
4. 4Robar. El código puede sustituir las direcciones copiadas al portapapeles, mostrar una solicitud de transacción falsa, pedir una frase semilla o inyectar un drainer en el front end de una app descentralizada.
5. 5Ocultarse. Los atacantes suelen eliminar el código poco después de usarlo, lo que dificulta la investigación.

Existen incidentes reales documentados que siguen este patrón. En 2018, una dependencia maliciosa añadida a un popular paquete de JavaScript estaba diseñada para robar a los usuarios de una app de billetera de bitcoin concreta. En diciembre de 2023, una versión comprometida de la biblioteca Connect Kit de Ledger hizo que, durante un breve periodo, varias apps descentralizadas mostraran un wallet drainer a sus usuarios. Ambos casos demuestran que el punto débil era el código compartido, no los usuarios. Para profundizar, consulta Riesgos de las direcciones vanity y de las direcciones parecidas.

Puntos de entrada habituales

El typosquatting, es decir, subir un paquete con un nombre muy parecido al de uno popular, es especialmente común. Un desarrollador que escribe mal el nombre de un paquete puede instalar malware sin darse cuenta.

Un ejemplo hipotético

Este es un ejemplo ilustrativo y compuesto, no un caso real. Imagina un pequeño exchange descentralizado que carga una popular biblioteca de conexión de billeteras desde un registro público de paquetes. Una mañana, el mantenedor de la biblioteca sufre un ataque de phishing y el atacante publica una nueva versión. El sitio web del exchange carga automáticamente la última versión.

Durante unas horas, cada usuario que conecta una billetera ve lo que parece una solicitud de swap normal. En realidad, es una petición para aprobar sus tokens al contrato del atacante. Los usuarios que leen con atención la pantalla de aprobación de su billetera detectan un contrato desconocido y se detienen. Los que hacen clic sin leer pierden sus tokens. El equipo del exchange descubre el problema cuando los usuarios informan de pérdidas y publica una alerta, pero para entonces el código ya se ha eliminado.

Señales de alerta para usuarios

• Una app conocida de repente te pide una frase semilla o un paso de «validación de billetera» que nunca había pedido antes.
• Una acción rutinaria genera una solicitud inusual en la billetera, como una aprobación ilimitada o una firma para un contrato desconocido.
• La dirección que aparece en la pantalla de tu billetera de hardware no coincide con la que querías usar.
• Una extensión del navegador se actualiza y pide nuevos permisos, sobre todo para leer y modificar datos en todos los sitios web.
• Un proyecto o investigadores de seguridad publican avisos urgentes para que no se use un sitio o una app.

Muchas de estas señales coinciden con las del malware de portapapeles y las apps de billetera falsas, que usan técnicas similares. Consulta también: Falsas actualizaciones del navegador y malware de captcha dirigidos a usuarios de cripto.

Cómo protegerte

Como usuario

1. 1Usa una billetera de hardware y lee la dirección, el importe y el contrato en su pantalla antes de confirmar.
2. 2Reduce al mínimo las extensiones. Elimina las que no uses y ten cuidado cuando una extensión cambie de propietario o pida nuevos permisos.
3. 3Separa tus fondos. Guarda las tenencias a largo plazo en una billetera que rara vez se conecte a sitios web y usa otra billetera para el DeFi del día a día.
4. 4Haz una pausa tras las alertas de seguridad. Evita usar una app hasta que confirme que el problema está solucionado.
5. 5Revoca periódicamente las aprobaciones que no necesites.

Como desarrollador o proyecto

• Fija las versiones de las dependencias y usa lockfiles; revisa los cambios antes de actualizar.
• Comprueba con cuidado los nombres de los paquetes y da preferencia a bibliotecas bien mantenidas.
• Exige autenticación multifactor en las cuentas de registros de paquetes y de alojamiento de código.
• Usa versiones firmadas y, cuando sea posible, compilaciones reproducibles para que los usuarios puedan verificar los binarios.
• Usa una content security policy y subresource integrity para los scripts de terceros.

Qué hacer si te has visto afectado

1. 1Deja de usar la app o extensión afectada y desconecta todas las billeteras.
2. 2Revisa tu historial de transacciones en busca de aprobaciones o transferencias durante el periodo afectado.
3. 3Revoca cualquier aprobación sospechosa y mueve los fondos restantes a una billetera nueva con una nueva frase semilla si tu frase semilla pudo haber quedado expuesta.
4. 4Reúne los hashes de transacción y las direcciones y, después, denuncia el incidente por los canales oficiales del proyecto y a través de nuestro formulario para denunciar estafas.

Sigue la lista completa en qué hacer de inmediato si tu billetera está comprometida.

Conclusión

Los ataques a la cadena de suministro convierten el software de confianza en un canal para el robo, así que no basta con evitar los enlaces sospechosos. Trata la pantalla de tu billetera de hardware y las solicitudes de tu billetera como la comprobación final, mantén al mínimo el software que usas y reacciona rápido ante las alertas de seguridad oficiales. Quienes desarrollan llevan la mayor parte de la responsabilidad: fijad, revisad y firmad todo lo que publiquéis.