Una campaña masiva de robo de criptoactivos ha sido detectada en las tiendas de extensiones de navegadores populares. Tras un análisis profundo, logré descubrir 18 extensiones maliciosas para Google Chrome y una para Microsoft Edge, dirigidas a vaciar carteras de criptomonedas y robar datos confidenciales de los usuarios. La audiencia combinada de dos versiones de uno de los complementos más peligrosos alcanzaba las 80 000 personas, y una parte significativa de los afectados son usuarios de habla rusa.
Mecánica de infección y amenaza oculta
Las extensiones, disfrazadas de herramientas útiles, cargan un marco modular diseñado para robar criptomonedas, contraseñas e historial del navegador. Para colmo, muestran a las víctimas banners publicitarios. Los primeros indicios de actividad de los atacantes se remontan a 2024, lo que apunta a una operación prolongada y bien planificada.
El peligro clave radica en que parte de las extensiones no contenían código malicioso en el momento de su publicación en Chrome Web Store. Cinco de las dieciséis extensiones fueron compradas a los desarrolladores originales, tras lo cual se les inyectaron funciones peligrosas mediante actualizaciones automáticas. Este es un esquema clásico de ataque a la confianza, donde el usuario instala una solución aparentemente legítima que luego se convierte en un troyano.
Una de estas extensiones — «Enable Right Click & Copy — Smart Unlock + OCR» — funcionaba en Chrome y Edge. Para el momento del descubrimiento de la infección, su base en Chrome superaba las 70 000 instalaciones, mientras que en Edge era de aproximadamente 10 000. Todas las extensiones encontradas ya han sido eliminadas de Chrome Web Store, sin embargo, la versión para Edge, según los datos disponibles, permanecía accesible en la tienda de Microsoft.
Detalles técnicos y métodos de ataque
Tras la instalación, el programa establece una conexión WebSocket cifrada con los servidores de control (C2) y descarga módulos adicionales de JavaScript. El malware elimina las cabeceras de Política de Seguridad de Contenido (CSP) de los sitios visitados e inyecta scripts mediante elementos HTML ocultos, lo que permite interceptar datos en criptobolsas y servicios en línea.
Los módulos pueden vaciar carteras EVM, Solana y Tron, sustituyendo los botones «Conectar cartera» y «Intercambiar». Para las carteras de hardware Ledger y Trezor se crean páginas de phishing que extraen las frases semilla. El código malicioso roba activos y datos de cuentas de las principales bolsas — Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit — así como de MetaMask. Una función adicional son las notificaciones falsas de actualización del navegador, que empujan a la víctima a acciones que profundizan la infección.
Amenazas adicionales y recomendaciones
Paralelamente, se registran otros vectores de ataque. Los estafadores crean servicios falsos de verificación de direcciones de criptomonedas por su implicación en el lavado de dinero (AML), a través de los cuales engañan a los propietarios de activos. Además, los hackers explotan activamente vulnerabilidades en sistemas operativos, como la función «Compartir pantalla» de macOS, obteniendo acceso no autorizado a las computadoras de las víctimas.
Los usuarios afectados deben cambiar inmediatamente todas sus contraseñas, considerando que sus datos están comprometidos. A aquellos que almacenaban criptomonedas en las carteras afectadas, les recomiendo encarecidamente transferir los activos a nuevas direcciones. Revisar regularmente la lista de extensiones instaladas y ser cauteloso al otorgar permisos son medidas de seguridad básicas pero críticamente importantes.
Mi comentario: Esta campaña es un claro ejemplo de la evolución de las ciberamenazas: los atacantes ya no hackean, compran negocios legítimos y esperan pacientemente. Los usuarios deberían reconsiderar su modelo de confianza hacia las extensiones del navegador, prefiriendo soluciones de código abierto y con permisos mínimos necesarios. La seguridad en criptomonedas no es solo proteger las claves, sino también la higiene de todo el entorno digital.