.jpeg)
Un intento reciente de explotar vulnerabilidades dentro del ecosistema de Node Package Manager (NPM), aunque resultó en una pérdida financiera mínima, ha servido como una clara advertencia sobre las amenazas de seguridad continuas que enfrentan los usuarios y las plataformas de criptomonedas. El incidente destaca la necesidad crítica de medidas de seguridad sólidas, particularmente para las billeteras de software y los intercambios.
Conclusiones Clave
-
El intento de ataque a NPM, que robó solo $50 en criptomonedas, expuso vulnerabilidades significativas en la cadena de suministro.
-
Los expertos enfatizan que las billeteras de software y los intercambios siguen siendo susceptibles a este tipo de ataques.
-
Las billeteras de hardware se promocionan como una alternativa más segura debido a características como la firma clara y la verificación de transacciones.
El Ataque a NPM Revelado
El ataque se originó cuando actores maliciosos obtuvieron acceso a cuentas de desarrolladores a través de correos electrónicos de phishing que suplantaban al soporte de NPM. Aprovechando este acceso, inyectaron código dañino en bibliotecas populares de NPM, incluyendo chalk, debug y strip-ansi. El código inyectado fue diseñado para interceptar y alterar direcciones de billeteras de criptomonedas durante transacciones en varias blockchains como Bitcoin, Ethereum, Solana, Tron y Litecoin.
Análisis de Expertos e Impacto
Charles Guillemet, CTO de Ledger, una empresa de billeteras de hardware, describió el incidente como un "claro recordatorio" de los riesgos persistentes. Afirmó que los usuarios que dependen de billeteras de software o que mantienen fondos en intercambios están "a una ejecución de código de perderlo todo", enfatizando que los compromisos de la cadena de suministro siguen siendo un vector potente para la entrega de malware. Guillemet abogó por las billeteras de hardware, citando sus características de firma clara y verificación de transacciones como defensas cruciales contra tales amenazas.
Anatoly Makosov, CTO de The Open Network (TON), proporcionó más detalles, señalando que solo versiones específicas de 18 paquetes fueron afectadas y que se emitieron reversiones rápidamente. Explicó que los paquetes comprometidos actuaron como "crypto clippers", reemplazando silenciosamente direcciones de billeteras legítimas por maliciosas en aplicaciones que usaban las versiones infectadas. Esto significaba que las aplicaciones web que interactuaban con las blockchains afectadas corrían el riesgo de que sus transacciones fueran redirigidas sin el conocimiento del usuario.
Mitigación y Recomendaciones
Makosov identificó a los desarrolladores que subieron compilaciones poco después de las actualizaciones maliciosas y a las aplicaciones que actualizaban automáticamente las bibliotecas de código como los más expuestos. Aconsejó a los desarrolladores que revirtieran a versiones seguras de las bibliotecas comprometidas, reinstalaran código limpio y reconstruyeran sus aplicaciones. También compartió una lista de verificación para identificar aplicaciones comprometidas, principalmente verificando si el proyecto depende de las 18 versiones específicas de bibliotecas comprometidas. Hay nuevas versiones y actualizaciones disponibles, y se insta a tomar medidas rápidas para eliminar el malware.
Fuentes
-
El hackeo de NPM muestra que las amenazas a la cadena de suministro aún ponen en peligro las criptomonedas, Cointelegraph.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.