Charles Guillemet, director de tecnología en Ledger, fabricante de carteras de hardware para criptomonedas, ha advertido de un ataque a gran escala en la cadena de suministros. Lo ha hecho a través de su cuenta en la red social X (@P3b7_). Concretamente, afecta a numerosos paquetes npm populares, con más de dos mil millones de descargas semanales. Todo ha ocurrido después de un ataque phishing.
En palabras de Charles Guillemet, “los paquetes afectados ya se han descargado más de mil millones de veces, lo que significa que todo el ecosistema JavaScript podría estar en riesgo”. La carga maliciosa funciona al intercambiar, se forma silenciosa, direcciones de criptomonedas y robar así fondos. Un problema importante que puede afectar a muchos usuarios.
Un ataque phishing pone en riesgo las transacciones
Según informan desde The Hacker News, el ataque se dirigió a Josh Junon (también conocido como Qix), mantenedor de paquetes npm afectados. Recibió un correo electrónico que imitaba a npm, desde una dirección que simulaba perfectamente ser la oficial. Un ataque phishing clásico.
La lista de paquetes, que puedes ver en The Hacker News, es la siguiente:
ansi-regex@6.2.1
ansi-styles@6.2.2
backslash@0.2.1
chalk@5.6.1
chalk-template@1.1.1
color-convert@3.1.1
color-name@2.0.1
color-string@2.1.1
debug@4.4.2
error-ex@1.3.3
has-ansi@6.0.1
is-arrayish@0.3.3
proto-tinker-wc@1.8.7
supports-hyperlinks@4.1.1
simple-swizzle@0.2.3
slice-ansi@7.1.1
strip-ansi@7.1.1
supports-color@10.2.1
supports-hyperlinks@4.1.1
wrap-ansi@9.0.1
En ese e-mail, le pedían que actualizara sus credenciales de autenticación de dos factores (2FA). Además, algo habitual en estos casos, le metían prisa: tenía que hacerlo antes del 10 de septiembre de 2025, a través de un clic en el enlace incrustado en ese correo. Puedes ver el mensaje publicado por Charles Guillemet en su perfil en X:
El propio Josh Junon, a través de su cuenta en la red social Bluesky, ha confirmado que fue víctima de un ataque phishing en el que pedían resetear las credenciales de 2FA. Pide disculpas en ese mensaje. Lo cierto es que, como podemos comprobar en este caso, el phishing puede afectar a cualquiera que esté desprevenido y confíe en un mensaje que haya recibido, ya sea por e-mail o redes sociales, y sea una trampa.
Yep, I've been pwned. 2FA reset email, looked very legitimate.Only NPM affected. I've sent an email off to @npmjs.bsky.social to see if I can get access again.Sorry everyone, I should have paid more attention. Not like me; have had a stressful week. Will work to get this cleaned up.
— Josh Junon (@bad-at-computer.bsky.social) 2025-09-08T15:15:45.497Z
Esto supuso que los atacantes publicaran una versión fraudulenta en el registro de npm, lo cual, de forma indirecta, afecta a muchos usuarios. Este malware está diseñado para interceptar solicitudes de transacciones de criptomonedas e intercambiar la dirección de la billetera de destino con una billetera controlada por el atacante. Lo que envíe un usuario, puede terminar en malas manos.
Desde Aikido, en una publicación con fecha del 8 de septiembre, han analizado los paquetes comprometidos y aseguran que la carga útil actúa como un interceptor basado en navegador que secuestra el tráfico de red y las API de las aplicaciones para robar criptomonedas reescribiendo solicitudes y respuestas.
Criptomonedas en peligro
Como indica el usuario Btcandres 285 (@BtcAndres) en su cuenta de X, este ataque podría afectar a todas las cadenas de Bitcoin y otras criptomonedas. npm es un administrador de paquetes usado en el lenguaje de programación JavaScript, usado de forma predeterminada en muchos casos.
Cualquier sitio web que utilice esta dependencia pirateada, permite que el ciberdelincuente tenga la oportunidad de inyectar código malicioso. Por ejemplo, al hacer clic en el botón de “intercambiar”, en un sitio web, esa transacción podría ir hacia el atacante, ya que, previamente, ha reemplazado el código legítimo.
Esto afecta a sitios web que hayan instalado esa actualización de paquetes npm que se han visto afectados. Las páginas que utilicen paquetes más antiguos, sin este problema, no se ven afectadas. Esto limita mucho el impacto real, por lo que tus billeteras estarán seguras, salvo casos concretos en los que utilices una web que sí esté afectada.
Por ahora, lo mejor es que no intercambies criptomonedas hasta que este problema se solucione por completo. Limita el riesgo todo lo posible. Utilizar una cartera física, también conocida como hardware wallet, es una buena solución para alojar tus criptomonedas de forma segura.
Es importante siempre estar alerta ante cualquier cambio inesperado en las direcciones de destino mostradas en las interfaces web, especialmente si difieren de las direcciones previamente utilizadas o guardadas. El ataque descrito específicamente intercepta y modifica estas direcciones en tiempo real. La implementación conjunta de medidas de prevención por parte de desarrolladores y usuarios finales, crea un ecosistema de seguridad más robusto que puede prevenir o mitigar futuros ataques similares en la infraestructura de paquetes JavaScript.
Los piratas informáticos podrían lanzar campañas para robar datos muy variados en Internet y atacar a páginas muy diversas. Sin embargo, las criptomonedas suelen ser uno de sus objetivos claros. El hecho de ser transacciones irreversibles, difíciles de identificar hacia dónde la estás enviando realmente, hacen que sea perfecto para ataques de este tipo. Si sueles comprar criptodivisas, es fundamental que lo hagas siempre desde lugares seguros, fiables, y busques previamente información en Internet.