Los contratos inteligentes de Ethereum se han convertido en un nuevo caldo de cultivo para que los hackers oculten programas maliciosos.

Recientemente, el equipo de investigación de ReversingLabs reveló un hallazgo preocupante: los hackers están utilizando astutamente los contratos inteligentes de Ethereum para ocultar las URL de programas maliciosos. Esta investigación muestra que los atacantes utilizan los paquetes de software npm colortoolv2 y mimelib2 como descargadores, y una vez instalados, consultan los contratos inteligentes de Ethereum para obtener instrucciones y la información de infraestructura de control y comando (C2) de la segunda fase del programa malicioso.

La investigadora de ReversingLabs, Lucija Valentic, afirmó que esta técnica de ataque es extremadamente creativa y sin precedentes, logrando eludir los mecanismos de escaneo tradicionales, que normalmente marcan las URL sospechosas en los scripts de paquetes de software.

El malware se oculta astutamente en la blockchain

Los hackers aprovechan las características de los contratos inteligentes de Ethereum para ocultar código malicioso en un archivo index.js que parece normal. Al ejecutarse, este archivo accede a la blockchain para obtener detalles del servidor C2. La investigación de ReversingLabs señala que este método de aprovechamiento de la blockchain marca la entrada de las estrategias de evasión en una nueva etapa.

Los investigadores realizaron un amplio escaneo en GitHub y descubrieron que estos paquetes npm estaban incrustados en repositorios disfrazados como robots de criptomonedas, como Solana-trading-bot-v2 y Hyperliquid-trading-bot-v2. Estos repositorios se disfrazan como herramientas profesionales, con múltiples envíos, contenedores y estrellas, pero en realidad son falsos.

Hacker de disfraz cuidadoso y evolución continua

Investigaciones han encontrado que las cuentas que ejecutan envíos o copian repositorios de código fueron creadas en julio y no muestran ninguna actividad de codificación. La mayoría de las cuentas han incrustado archivos README en sus repositorios. El número de envíos fue generado artificialmente a través de un programa automatizado, con el propósito de exagerar la actividad de codificación. Por ejemplo, la mayoría de los envíos registrados son simplemente cambios en archivos de licencia, en lugar de actualizaciones sustanciales.

Los investigadores descubrieron que, una vez detectados, los hackers cambian rápidamente las dependencias a diferentes cuentas. Después de que se descubriera colortoolsv2, comenzaron a usar mimelibv2, y luego cambiaron a mw3ha31q y cnaovalles, lo que llevó a una inflación en la cantidad de envíos y a la inserción de dependencias maliciosas.

ReversingLabs relacionó este evento con la Ghost Network de Stargazer, que es un sistema de cuentas coordinadas diseñado para aumentar la credibilidad de los repositorios maliciosos. El objetivo de este ataque son los desarrolladores que buscan herramientas de criptomonedas de código abierto, quienes pueden confundir las estadísticas exageradas de GitHub como indicadores de cuentas legítimas.

Amenazas continuas que enfrenta el ecosistema blockchain

Este ataque descubierto no es un caso aislado. En marzo de 2025, ResearchLabs encontró otros paquetes npm maliciosos que modificaron paquetes legítimos de Ethers utilizando código que habilitaba un shell inverso. Además, se encontraron dos paquetes npm con código malicioso: Ether-provider2 y ethers-providerZ.

Al mirar hacia atrás, el incidente de diciembre de 2024 en el que el paquete ultralytics de PyPI fue comprometido para distribuir malware de minería de criptomonedas, así como los casos de ocultación de código malicioso en plataformas de confianza como Google Drive y GitHub Gist, muestran la diversidad de este tipo de ataques. Según la investigación, en 2024 se registraron 23 incidentes de cadena de suministro relacionados con criptomonedas, que involucraron malware y filtraciones de datos.

Recomendaciones de seguridad y perspectivas futuras

La investigadora Valentic de ReversingLabs enfatizó que este hallazgo destaca cómo las estrategias de evasión de detección de los atacantes maliciosos dirigidas a proyectos de código abierto y desarrolladores están evolucionando rápidamente. Ella advirtió a los desarrolladores que deben evaluar cuidadosamente la legalidad de las bibliotecas de código abierto antes de adoptarlas, ya que indicadores como el número de estrellas, la cantidad de envíos y el número de mantenedores son fácilmente manipulables.

A pesar de que los paquetes npm relacionados han sido eliminados y las cuentas de GitHub correspondientes han sido cerradas, este evento revela que el ecosistema de amenazas de software está en constante evolución. Los desarrolladores y expertos en seguridad deben mantenerse alerta y adoptar medidas de verificación más estrictas para hacer frente a estas amenazas cada vez más complejas.