El ataque masivo a la cadena de suministro dirigido a desarrolladores de criptomonedas

Puntos clave

• El 22 de mayo, Socket encontró malware Trapdoor infectando 34 paquetes de desarrolladores para robar carteras y claves de criptomonedas.
• A lo largo de 384 versiones, la campaña engaña a las herramientas de IA y afecta gravemente el mercado de desarrollo.
• Tras un ataque similar en septiembre, Socket advierte que los desarrolladores deben proteger también los entornos de IA contra el robo de criptomonedas.

Esquema de ataque a la cadena de suministro Trapdoor apunta a los desarrolladores para un rendimiento máximo

Mientras que algunas campañas de malware apuntan a usuarios cotidianos de criptomonedas, otras se enfocan en desarrolladores, con el objetivo de capturar blancos con mayor probabilidad de poseer grandes cantidades de criptomonedas y tener acceso a recursos más amplios.

Investigadores de Socket, una empresa especializada en prevenir ataques a la cadena de suministro, han identificado una campaña amplia dirigida a desarrolladores de criptomonedas que utilizan paquetes infectados en npm, PyPI y Crates.io.

Llamada Trapdoor, el ataque a la cadena de suministro abarca 34 paquetes en estos entornos de desarrollo, que comprenden más de 384 versiones, algunas aún disponibles. Socket informó que los paquetes afectados fueron publicados en oleadas a partir del 22 de mayo y luego se actualizaron durante el fin de semana siguiente.

Los paquetes destacaron por su naturaleza, ya que supuestamente representaban herramientas genéricas para desarrolladores y aparecían en rápida sucesión en diferentes registros. Esto da a la campaña “alcance amplio en comunidades de desarrolladores adyacentes donde es probable que estén presentes carteras de criptomonedas, credenciales en la nube, tokens de Github y claves SSH,” evaluó Socket.

Los paquetes infectados invaden el entorno de desarrollo de los desarrolladores de criptomonedas, aprovechando estas supuestas herramientas de código abierto, tomando control de secretos, carteras de criptomonedas, claves de shell seguro (SSH) y otros datos relevantes.

Los paquetes infectados por Trapdoor también intentan aprovechar las herramientas de IA para colaborar en su ataque, usando archivos directivos para engañar a las herramientas de codificación de IA y ejecutar un escaneo de seguridad y exfiltrar datos altamente sensibles.

Socket afirmó que, aunque esta técnica no puede funcionar de manera consistente en todas las herramientas y modelos de IA, su presencia demuestra que los atacantes “están experimentando activamente con entornos de desarrollo de IA como parte de campañas de malware en la cadena de suministro.”

Los ataques en cadena están volviéndose más comunes. En septiembre, la comunidad cripto fue alertada sobre un hackeo similar, con varios paquetes utilizados por carteras de criptomonedas comprometidos y modificados para robar fondos de criptomonedas de carteras que contienen bitcoin, ether y solana, entre otros activos digitales.