Un nuevo caso de typosquatting (registro dominios web con errores ortográficos intencionales) en npm volvió a poner en evidencia los riesgos que enfrenta el ecosistema Web3 y DeFi. Investigadores de Xygeni detectaron una campaña maliciosa orientada específicamente a desarrolladores de Ethereum y Solidity, donde paquetes aparentemente legítimos fueron utilizados para robar claves privadas, secretos de despliegue y credenciales sensibles desde estaciones de trabajo reales.
La amenaza demuestra cómo los ataques a la cadena de suministro de software continúan evolucionando, apuntando ahora a entornos de desarrollo altamente especializados y de alto valor económico.
Seis paquetes maliciosos orientados a desarrolladores Ethereum
El 6 de mayo de 2026, un único editor de npm identificado como namikazesarada010206 publicó seis paquetes maliciosos diseñados para parecer herramientas auxiliares legítimas del ecosistema Web3:
- viem-core
- viem-utils-core
- hardhat-core-utils
- evm-utils
- foundry-utils
- web3-utils-core
Todos compartían exactamente el mismo archivo telemetry.js, identificado con el hash SHA-256:
71426e93cb6143052d5aeeca920850f8a0343c95bc65aab9a15145848cc5bff1
La estrategia utilizada fue particularmente efectiva: los nombres no imitaban directamente proyectos oficiales, sino que simulaban ser extensiones o utilidades complementarias para herramientas conocidas como Viem, Hardhat, Foundry y Web3.js.
Este enfoque aumenta considerablemente las probabilidades de instalación accidental por parte de desarrolladores que trabajan bajo presión o en entornos de integración rápida.
El malware no se ejecuta durante la instalación
Uno de los elementos más sofisticados de esta campaña es que el código malicioso evita ejecutarse durante la instalación del paquete.
No existen hooks preinstall ni postinstall. En cambio, la carga maliciosa se activa únicamente cuando el desarrollador importa el paquete mediante require().
require(‘./telemetry’).init();
Esta técnica permite evadir múltiples soluciones automatizadas de análisis, ya que muchos entornos sandbox se enfocan exclusivamente en comportamientos sospechosos durante el proceso de instalación.
Activación exclusiva en entornos Web3 reales
El implante malicioso verifica primero si la máquina comprometida corresponde efectivamente a un entorno de desarrollo Ethereum/Solidity.
Para ello busca indicadores específicos como:
- ALCHEMY_API_KEY
- INFURA_KEY
- PRIVATE_KEY
- MNEMONIC
- DEPLOYER_KEY
Además, valida la existencia de directorios asociados a herramientas de desarrollo como:
- ~/.foundry/
Si no encuentra estos indicadores, el malware permanece inactivo.
Este comportamiento reduce el ruido operacional y dificulta aún más su detección en laboratorios genéricos o sistemas automatizados de análisis.
¿Qué información roba?
Una vez activado, el malware recopila información extremadamente sensible para operaciones Web3 y DeFi:
Objetivos principales
- Claves privadas Ethereum
- Mnemónicos y seeds
- Wallet keystores de Foundry, Geth y Brownie
- Tokens npm
- Credenciales AWS
- Variables sensibles en archivos .env
- Claves SSH
- Secretos de despliegue
- Acceso a infraestructura cloud
El malware también analiza expresiones regulares asociadas a secretos críticos:
/TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/i
La información robada es cifrada utilizando AES-256-GCM antes de ser enviada a un servidor C2 remoto mediante HTTPS.
Exfiltración silenciosa y evasión
La campaña utilizó como servidor de comando y control la IP:
76.13.37.80:8443
El tráfico se enviaba hacia:
/api/v1/telemetry
Otro detalle preocupante es que el malware deshabilita explícitamente la validación TLS:
rejectUnauthorized: false
Esto permite aceptar certificados autofirmados y facilita el uso de infraestructura temporal por parte del atacante.
Por qué esta campaña es especialmente peligrosa
A diferencia de campañas genéricas de robo de credenciales, este ataque fue diseñado específicamente para comprometer desarrolladores Web3.
Eso implica riesgos directos como:
- Robo de wallets de despliegue
- Compromiso de contratos inteligentes
- Acceso a infraestructura cloud
- Suplantación de identidades de desarrollo
- Robo de fondos
- Manipulación de pipelines CI/CD
- Compromiso de repositorios y despliegues productivos
El caso demuestra que las dependencias de terceros se han convertido en uno de los vectores más críticos dentro de la seguridad de la cadena de suministro de software.
Indicadores de compromiso (IoC)
Paquetes comprometidos
- viem-core
- viem-utils-core
- hardhat-core-utils
- evm-utils
- foundry-utils
- web3-utils-core
Infraestructura utilizada
- C2: 76.13.37.80
- Puerto: 8443/tcp
Hash identificado
- 71426e93cb6143052d5aeeca920850f8a0343c95bc65aab9a15145848cc5bff1
Recomendaciones para equipos de desarrollo y seguridad
Desde una perspectiva defensiva, este incidente deja varias lecciones importantes para organizaciones que trabajan con entornos Web3, blockchain o DevOps moderno:
- Auditar constantemente dependencias npm utilizadas por equipos de desarrollo.
- Validar reputación y trazabilidad de nuevos paquetes.
- Implementar monitoreo sobre accesos a keystores y secretos locales.
- Detectar conexiones salientes anómalas desde procesos Node.js.
- Aplicar controles de Software Supply Chain Security.
- Integrar análisis de dependencias y detección temprana de malware en pipelines CI/CD.
En este contexto, soluciones como Xygeni permiten fortalecer la seguridad de la cadena de suministro mediante capacidades avanzadas de detección de dependencias maliciosas, análisis de riesgo y protección continua del ciclo de desarrollo.
La seguridad del desarrollo ya no es opcional
Las amenazas actuales ya no buscan únicamente vulnerar infraestructura corporativa tradicional. Hoy los atacantes entienden que comprometer a un desarrollador puede significar acceso directo a billeteras, despliegues productivos, secretos cloud y activos críticos del negocio.
En CronUp Ciberseguridad ayudamos a organizaciones a fortalecer sus capacidades de detección temprana, seguridad ofensiva y protección de entornos DevSecOps mediante monitoreo continuo, threat hunting, gestión de vulnerabilidades y acompañamiento estratégico en ciberseguridad.
La seguridad de la cadena de suministro de software debe ser tratada hoy como un componente crítico del negocio digital.
Porque en el mundo Web3, una dependencia comprometida puede transformarse rápidamente en una brecha millonaria.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
