La comunidad enloquece: ¡ataque sorpresa pone en jaque las wallets de criptomonedas!

¡Qué onda, banda! Les cuento que se armó tremendo despapaye en el mundo cripto porque alguien se metió con la cadena de suministro de software. Resulta que unos investigadores encontraron actualizaciones infectadas en paquetes de NPM, que es una herramienta súper importante para los que programan en JavaScript. Esto puso a temblar a todos porque esos paquetes usan millones de wallets de criptomonedas.

¿Qué pasó? Pues la cuenta de un desarrollador conocido como «qix» fue hackeada, y los malos aprovecharon para meter malware en librerías que casi todos usan. Este malware está bien fregón, porque detecta cuando tienes wallets como MetaMask y puede cambiar las transacciones al volón, sin que te des cuenta.

Según CriptoNoticias, este código malicioso intercepta los datos justo antes de que lleguen a tu wallet, cambia la dirección del destinatario y luego te manda la operación para que la firmes tú solo, pero sin saber que el dinero va directo a las manos de los atacantes.

El golpe va principalmente para los desarrolladores, pero como esos paquetes están en muchas apps, la bronca alcanza a millones de usuarios que guardan su lana en wallets conectadas a internet.

Este chisme hizo que hasta Changpeng Zhao, el ex CEO de Binance, tirara la alerta diciendo que el software de código abierto ya no es tan seguro y que Web3 va a cambiar la forma en que cuidamos nuestra info. Básicamente, dijo que confiar ciegamente en el software abierto no es garantía contra estos ataques, porque la red es bien grande y hay un chorro de librerías que usar, y ahí pueden colarse los malos.

Otros expertos ahora lo llaman uno de los hackeos más cañones en la historia reciente. Quinten François, que está metido en weRate, una plataforma de reseñas confiables, lo llamó “el hackeo más grande de la cadena de suministro que han visto”, porque NPM es la base de millones de apps y wallets de bitcoin y otras criptos en todo el mundo.

François también recomendó que, aunque tengas hardware wallets (esas carteras físicas), revises cada transacción con lupa antes de firmarla. Y siguiendo el consejo del CTO de Ledger, lo mejor es pausar las transferencias on-chain si no cuentas con uno de esos dispositivos.

Desde acá en América Latina también se prendieron las alarmas. El analista BtcAndres fue bien directo: “Hay que checar al 100% cada letra de la dirección del destinatario en tu wallet o en la pantalla de tu hardware wallet antes de darle OK a cualquier movimiento”. Dijo que el script maligno traía una lista bien larga de direcciones de los hackers, y afectan varias criptos como bitcoin, ether, solana, litecoin y bitcoin cash.

Manuel Ferrari, que anda al frente de Bitcoin Argentina, también le entró con un consejo esencial: siempre revisa toda la dirección que te sale en el dispositivo, no nomás las primeras o últimas letras, porque si te equivocas y mandas la lana a la dirección incorrecta, ¡se fue para siempre! En bitcoin no hay devoluciones ni deshacer.

Ferrari agregó que mejor se cambien a programas que no dependan de NPM, como Sparrow Wallet, y que se usen junto con hardware wallets confiables como Trezor, Ledger, BitBox, Jade o Keystone. Y si tienen dispositivos sin pantalla como BitKey o Tangem, lo mejor es parar las operaciones hasta que saquen actualizaciones seguras.

En medio del relajo por el ataque, la comunidad Cuba Bitcoin informó que les llegaron 10 hardware wallets Blockstream Jade, donadas por la academia de El Salvador y Blockstream. Estos aparatos no usan JavaScript ni NPM, así que no están afectados por este ciberataque. Eso sí, igual piden verificar bien las direcciones cada vez que hagan movimientos.

Las wallets más chidas como Ledger, Trezor, Sparrow, Blockstream Jade, Wasabi, Electrum, ColdCard, SeedSigner, y varias más dijeron que no se vieron tocadas por este rollo. Además, un investigador llamado Rani Haddad usó Arkham Intelligence para rastrear algunas wallets de los atacantes y encontró que solo traían unos 500 dólares en total, o sea que la bronca económica fue bastante baja.

Al final, lo que nos queda claro es que aunque no todos se vayan a ver afectados directamente, la seguridad de tu lana depende mucho de que estés pilas y revises todo bien. Más vale ser detallista y usar dispositivos especializados para no caer en trampas.

Así que, la neta, si vas a mover criptos ahorita, lo mejor es pausar las transferencias on-chain hasta que pase esta bronca. Y nunca olvides revisar con calma cada letra de la dirección a la que vas a mandar tu dinero, porque un error ahí te puede dejar sin nada. ¡Al tiro, banda!