Una campaña masiva de robo de criptoactivos ha sido detectada en las tiendas de extensiones de navegadores populares. Tras un análisis exhaustivo, logré identificar 18 extensiones maliciosas para Google Chrome y una para Microsoft Edge que funcionaban como «drenadores» completos (wallet drainers), vaciando las billeteras de los usuarios y robando datos confidenciales. La audiencia combinada de solo dos versiones de una de estas extensiones alcanzaba las 80,000 personas, y una parte significativa de los afectados se encuentra en Rusia.
La mecánica del ataque está meticulosamente diseñada. El código malicioso no era visible desde el primer día. Los atacantes compraban extensiones legítimas a sus desarrolladores originales y luego, mediante actualizaciones automáticas, insertaban un marco modular peligroso. Esto permitía que el ataque pasara desapercibido durante meses, y la funcionalidad de robo se activaba de manera selectiva y según fuera necesario.
Detalles técnicos y geografía de la amenaza
Uno de los ejemplos más reveladores es la extensión Enable Right Click & Copy — Smart Unlock + OCR, que se distribuía tanto en Chrome como en Edge. Su base en Chrome superaba las 70,000 instalaciones, y en Edge alrededor de 10,000. Tras la instalación, el programa establecía una conexión WebSocket cifrada con el servidor de comando y control (C2), descargaba módulos JS adicionales y eliminaba la protección de la Política de Seguridad de Contenido (CSP) en los sitios web. Esto permitía interceptar los datos ingresados y suplantar las interfaces.
Especialmente alarmante es el espectro de datos robados. Los módulos están diseñados para vaciar billeteras EVM, Solana y Tron, suplantando los botones «Conectar billetera» y «Intercambiar». Los atacantes crean copias de phishing de los sitios de Ledger y Trezor para extraer frases semilla, y también roban credenciales y activos de los principales intercambios: Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit y MetaMask. Además, las extensiones recopilan contraseñas, historial del navegador y datos de cuentas de Facebook y LinkedIn.
Aunque todas las extensiones encontradas ya han sido eliminadas de Chrome Web Store, la versión para Edge, según mis datos, permaneció disponible en la tienda de Microsoft durante más tiempo. Los primeros rastros de actividad de esta campaña se remontan a 2024, lo que indica su carácter a largo plazo y sistemático.
Recomendaciones y conclusiones
A todos aquellos que sospechen haber instalado extensiones similares, les recomiendo encarecidamente que consideren sus datos como comprometidos. Es necesario cambiar las contraseñas de inmediato y transferir los criptoactivos a nuevas direcciones limpias. Almacenar fondos en billeteras calientes, especialmente con permisos ampliados, es extremadamente arriesgado en este momento.
Este ataque es otro recordatorio de que el ecosistema de extensiones de navegador sigue siendo una «zona gris» de seguridad. Incluso las herramientas probadas por el tiempo pueden ser compradas y convertidas en troyanos. Auditar regularmente la lista de extensiones instaladas y ser escéptico ante las solicitudes de permisos amplios no es paranoia, sino una higiene necesaria para cualquiera que trabaje con activos digitales. El mercado responde a las amenazas, pero los atacantes siempre van un paso por delante, por lo que la vigilancia del usuario es el último y más importante frente de defensa.