Amplia campaña de ataques JavaScript NPM propaga malware autorreplicante por todo el ecosistema cripto

Una compromisión generalizada en la cadena de suministro de JavaScript ha infiltrado más de 400 paquetes de software en múltiples industrias, con investigadores de ciberseguridad señalando una exposición profunda en infraestructuras relacionadas con las criptomonedas. Los hallazgos de Aikido Security revelan un patrón preocupante: el actor de amenazas desplegó Shai Hulud, un malware sofisticado y autorreplicante diseñado para propagarse de forma autónoma a través de entornos de desarrollo y extraer credenciales sensibles.

Alcance del Ataque y Mecanismo Técnico

El malware funciona de manera diferente a incidentes anteriores en la cadena de suministro de NPM. En lugar de dirigirse directamente a activos digitales, este malware autorreplicante actúa como un recolector de credenciales, robando sistemáticamente claves de monedero, tokens API y secretos de autenticación de sistemas de desarrollo infectados. Cada detección fue validada para eliminar falsos positivos, según la divulgación del investigador Charlie Eriksen en las redes sociales.

La escala sigue siendo alarmante. La firma de ciberseguridad Wiz identificó aproximadamente 25,000 repositorios comprometidos pertenecientes a unos 350 usuarios distintos, con infecciones nuevas ocurriendo a una tasa de 1,000 repositorios cada media hora. Esta propagación autónoma distingue la amenaza actual de un incidente anterior en septiembre, donde los atacantes extrajeron manualmente $50 millones en criptomonedas antes de continuar.

Infraestructura de Criptomonedas Bajo Asedio

Al menos diez paquetes que sirven a la industria de blockchain fueron víctimas, principalmente relacionados con la infraestructura de Ethereum Name Service (ENS). El ecosistema afectado incluye bibliotecas ampliamente distribuidas como:

• content-hash: aproximadamente 36,000 descargas semanales
• address-encoder: superando las 37,500 descargas semanales
• ensjs, ens-validation, ethereum-ens, ens-contracts: todos comprometidos

Más allá de las herramientas específicas de ENS, el ataque alcanzó crypto-addr-codec, una utilidad de criptografía independiente que maneja casi 35,000 descargas por semana. Estos paquetes sirven como dependencias fundamentales para cientos de proyectos downstream, amplificando la exposición al riesgo en toda la comunidad de desarrollo.

Evaluación del Impacto General

La compromisión va más allá de las aplicaciones de criptomonedas. Víctimas notables incluyen plataformas de automatización empresarial como Zapier, con ciertos paquetes afectados que superan las 40,000 descargas semanales. Algunas bibliotecas comprometidas reportan 1.5 millones de descargas semanales, lo que sugiere una posible exposición que afecta a miles de aplicaciones finales.

Eriksen calificó el alcance del incidente como “masivo”, con esfuerzos de investigación en curso para establecer los parámetros completos del impacto. La recomendación inmediata de los investigadores de seguridad es realizar auditorías exhaustivas de cualquier entorno de desarrollo que utilice infraestructura npm, junto con una rotación urgente de credenciales y procedimientos de remediación en la cadena de suministro.