Un mil millones de descargas y contando: la comedia de billetera Grand Crypto 🤡🔒

En algún lugar de los corredores fríos de nuestro inexorable progreso digital, Charles Guillemet, CTO de Ledger, un centinela moderno contra los bandidos de código decididos por hablar. Lo que surgió fue menos una advertencia que una breve meditación sobre la locura humana, puntuada por la noticia de que NPM, la vaca sagrada de los desarrolladores de Javascript, ha sido sacrificada ceremoniosamente por un ataque de la cadena de suministro de proporciones épicas. Sí, todo un ecosistema de programadores ocupados y cafeinados ahora está distribuyendo sin saberlo un código malicioso como si fuera recargas de café gratis. ☕

Los atacantes, en su infinita sutileza (es decir, se detuvieron justo por debajo del uso de cómic sans), han insertado un código que intercambia direcciones criptográficas de transacción a mitad de la mitad, así que saben esto, oh buscador de riquezas digitales: su precioso asperso podría dirigirse directamente al bolsillo de un adversario sin rostro que se ríe en binary.

Guillemet, con la solemnidad de un hombre que ha visto su almuerzo robado del refrigerador de la oficina, admite que no está claro si las semillas de recuperación están siendo arrancadas de las billeteras comprometidas. Quizás los atacantes tienen estándares. Tal vez simplemente querían un poco de emoción, después de todos, ¿quién entre nosotros no ha intentado intercambiar billeteras como rompehielos en una conferencia de desarrolladores? 🤷‍️

Lo que debe enfatizarse o, ya que ya estamos aquí, lamentados es que NPM se sienta en el corazón de la creación de sitios web modernos. Todos los desarrolladores, desde el veterano hasta el tipo que acaba de buscar en Google “Cómo instalar Node.js”, ahora está jugando ruleta rusa con un paquete JavaScript. Alguien podría hacer un tiktok al respecto.

El alcance del ataque

Si pensaba que solo el perro de su vecino podría descargar mil millones de cosas en Internet, piense de nuevo. Los paquetes NPM comprometidos han violado el umbral sagrado: mil millones de descargas. Ahora, eso no significa que todos estén siendo pirateados, solo que el malware se está extendiendo más rápido que los chismes en una cola para el pan. La mayoría de la gente no se dará cuenta, a menos que su billetera comience a hablar en lenguas y envíe ETH a lugares desagradables.

El ataque se extiende a través de muchas cadenas, incluidos Ethereum y Solana, lo que significa que es menos un golpe objetivo y más un alboroto borracho en una reunión familiar de blockchain. 🥳

El sabio conocido como 0xCygaar recomienda abstenerse de firmar cualquier transacción criptográfica, tal vez por un día, tal vez por la eternidad, ¿quién sabe? En estos tiempos, lo único más seguro que su billetera es ese calcetín lleno de efectivo debajo de su colchón. O tal vez no.

Recomiendo encarecidamente no firmar ninguna transacción criptográfica en este momento.

Hay un enorme ataque de la cadena de suministro en paquetes populares de NPM que pueden haber comprometido varios sitios web de criptografía (frontend, no los contratos reales).

Cambia la dirección de destino de las transacciones y …

– Cygaar (@0xCygaar) 8 de septiembre de 2025

¿Son seguros los usuarios de Ledger?

Usuarios del libro mayor, ¡regocíjate! El CTO nos asegura que los titulares de billeteras de hardware, esas venerables reliquias de “firma clara”, no están en riesgo. El dispositivo, con todas las gravitas de una máquina de escribir soviética, presenta la verdadera dirección para su búsqueda del tesoro a través de blockchains. Guillemet recomienda la abstención de las transacciones en la cadena a menos que su billetera sea más difícil que el invierno siberiano.

La vida es corta y tu criptografía no es segura. Abrave su billetera de hardware, mira melancólicamente a la pantalla del libro mayor y recuerda algo, en algún lugar, solo cambió su dirección por una broma. 😂

2025-09-08 22:17