2025-12-30 05:24:56

En marzo de este año, la comunidad de desarrolladores reveló un alarmante incidente de seguridad: paquetes de JavaScript descargados millones de veces fueron infectados con código malicioso para robar criptomonedas. Estos componentes de código abierto que parecen inofensivos en realidad estaban equipados con programas de robo de criptomonedas diseñados cuidadosamente por hackers. Los atacantes, mediante la contaminación de las dependencias centrales en el ecosistema npm, construyeron un mecanismo de propagación automática de código malicioso.

**¿Cómo funciona un ataque de tres capas de ocultación?**

El núcleo de todo el ataque es el "secuestro de dependencias": cuando importas una biblioteca de terceros contaminada en tu proyecto, el código malicioso se activa silenciosamente y comienza a escanear tus archivos de billetera de criptomonedas locales. Este sistema tiene tres diseños astutos:

Primero, **falsificación del entorno**. El programa solo se activa en IPs específicas o con idioma del sistema determinado, y en entornos de prueba en caja de arena se disfraza de inofensivo. De esta forma, las detecciones de seguridad no lo detectan.

Segundo, **detección de claves**. Para las aplicaciones de billetera de escritorio construidas con Electron, utilizan permisos de archivos del sistema para robar directamente las claves privadas sin que el usuario se dé cuenta.

Tercero, **lavado en la cadena**. Los activos robados se convierten en monedas privadas mediante puentes entre cadenas, y luego se ingresan en un pool de liquidez en un DEX para lavar el dinero. Una vez que los fondos entran en el agujero negro de DeFi, rastrearlos se vuelve casi imposible.

**¿Por qué el ecosistema de código abierto es tan vulnerable?**

Este incidente ha puesto al descubierto una falla fatal en el mundo del código abierto: más del 78% de los proyectos de JavaScript dependen de bibliotecas de terceros que nunca han sido auditadas en seguridad. Los hackers solo necesitan tomar el control de la cuenta de un mantenedor para inyectar código malicioso en toda la cadena de dependencias. Una vez contaminado el origen, todos los proyectos que lo llaman en la parte inferior también se ven afectados. Y los activos robados, mediante mecanismos de mezcla, fluyen hacia redes financieras clandestinas. Esto ya no es solo un problema técnico, sino una nueva amenaza económica en la era digital.

Ver originales

Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.

6 me gusta

Recompensa
6
4
Republicar
Compartir

Comentar

0/400

AirdropHunter

· hace8h

¡Dios mío, ¿el ecosistema npm es tan exagerado? Cualquiera puede envenenar fácilmente --- La estrategia de lavado de dinero en la cadena es realmente increíble, una vez que entras en el pool de liquidez de un DEX, se convierte en un activo fantasma --- 78%... Por eso decía que me sentía más tranquilo escribiendo mi propia librería, ahora finalmente tengo una razón, jaja --- Entonces los desarrolladores se ven obligados a ser cómplices, si pierden la cuenta del mantenedor, se acaba su reputación, esa lógica es realmente absurda --- Espera, ¿son seguras las librerías que usamos? La verdad es que estoy un poco nervioso --- Mover fondos a monedas de privacidad y luego lavar dinero en DeFi, esa ruta de ataque está diseñada de manera bastante dura, para decirlo feo, tiene un toque artístico --- Básicamente, el modelo de confianza de npm ya se ha derrumbado, nadie piensa en cambiar esto --- Los hackers escanean archivos de billeteras locales, ni siquiera sé cómo defenderme, ¿qué se puede hacer? --- La cadena de dependencias es una cadena de veneno, un mal actor en la cima arruina a todos abajo, es demasiado desesperante

Ver originalesResponder0

StakeTillRetire

· hace8h

¡Vaya, qué brutalidad! ¿Así es como el ecosistema npm ha caído en decadencia? --- Por eso nunca confío en esas bibliotecas de pequeños mantenedores, una cadena de dependencias y todo se desploma --- La detección de claves es increíble, los usuarios ni siquiera se dan cuenta de lo que está pasando --- Así que al final, el dinero que fluye hacia DEX realmente se pierde, toda esa estrategia de mezclado no puede protegerse --- ¿Los mantenedores de proyectos de código abierto tienen tan poca conciencia de seguridad? Me hace reconsiderar todas mis dependencias --- Pensándolo bien, mi clave privada de la cartera nunca ha estado en un dispositivo sin conexión, las carteras frías realmente salvan vidas --- Es increíble, que un solo compromiso de cuenta pueda envenenar todo el ecosistema, npm debería reflexionar --- El 78% de los proyectos equivale a correr desnudo, estos datos me dan escalofríos

Ver originalesResponder0

Token_Sherpa

· hace8h

Ngl, esta pesadilla de la cadena de dependencias es exactamente la razón por la que dejé de confiar en paquetes "auditados" hace años... los ataques a la cadena de suministro afectan de manera diferente cuando toda tu pila está construida con código no verificado

Ver originalesResponder0

SelfCustodyIssues

· hace8h

Este es el fin del ecosistema npm, ¿quién se atreve a usar bibliotecas de terceros? --- El truco de disfrazar el entorno es genial, incluso engañó la sandbox, eso es muy duro --- ¿Así que todavía tengo que auditar cada línea de código yo mismo? Es agotador --- Los pools de liquidez de DEX se han convertido en agujeros negros para el lavado de dinero, el diseño de este sistema DeFi tiene problemas --- Con solo tomar una cuenta de mantenedor, se puede envenenar toda la cadena... no se puede confiar en el código abierto --- Eso es un ataque real a la cadena de suministro, más aterrador que cualquier ransomware --- ¿El 78% de las bibliotecas no han sido auditadas? Entonces, ¿las dependencias en mi proyecto son una bomba de tiempo? --- Si la clave privada ha sido robada, ¿qué se puede hacer? Esa es la riesgo de la autogestión --- El puente entre cadenas que convierte en moneda privada y vuelve a entrar en DEX, todo el proceso es una perfecta forma de crimen --- npm debería obligar a realizar auditorías de seguridad en cada paquete, así está demasiado informal

Ver originalesResponder0