Datos de billeteras de Solana, Sui y Aptos objetivo del ataque del paquete TrapDoor
Una nueva campaña de robo de criptomonedas está dirigida a los desarrolladores que tienen más probabilidades de tener claves de billetera, credenciales de nube y acceso a producción en sus máquinas.
Los investigadores de la firma de seguridad Socket dijeron a principios de esta semana que identificaron un ataque a la cadena de suministro llamado TrapDoor distribuido en tres principales registros de programación de código abierto, con más de 34 paquetes maliciosos y cientos de versiones y artefactos relacionados.
Una conclusión clave es que los atacantes se están volviendo más concentrados. Además de la ingeniería social, que apunta a personas que poseen información clave, los ataques a la cadena de suministro no están diseñados para atrapar a usuarios minoristas aleatorios sino a desarrolladores. Esas son las mismas personas que pueden tener archivos de billetera, claves SSH, tokens de GitHub, credenciales de nube y acceso de producción en la misma máquina que usan para crear herramientas criptográficas y de inteligencia artificial.
Socket no identificó a las víctimas ni a los fondos robados, pero dijo que los paquetes estaban activos en npm, PyPI y Crates.io y contenían cargas útiles que podían robar datos de billetera, exfiltrar credenciales, probar tokens de AWS y GitHub y dejar archivos para mantener el acceso activo.
Los paquetes programados en JavaScript, Python y Rust estaban disfrazados de ayudas para desarrolladores, escáneres de seguridad, herramientas de billetera, utilidades Solidity, paquetes de avisos de IA y ayudas de compilación Sui o Move.
Aburrido por diseño
Los nombres eran aburridos por diseño. Los paquetes se denominaron "wallet-security-checker", "defi-risk-scanner", "solidity-build-guard", "move-compiler-tools" y "llm-context-compressor", y parecían el tipo de pequeñas utilidades que un desarrollador de criptografía o IA podría instalar sin pensarlo mucho.
Sin embargo, una vez instaladas, las cargas útiles intentaron extraer mucho más que datos del paquete.
En los paquetes npm, el malware buscaba en la máquina de un desarrollador claves privadas, contraseñas, tokens de GitHub e inicios de sesión en la nube. También probó algunas credenciales robadas, intentó ingresar a otros sistemas a través de claves SSH y dejó archivos que podrían mantener activa la infección.
Las claves SSH son archivos de inicio de sesión que los desarrolladores utilizan para acceder a servidores, repositorios de códigos y otras máquinas. Si son robados, pueden permitir que un atacante pase de una computadora portátil comprometida a la infraestructura más amplia de una empresa.
El ataque también utiliza archivos como .cursorrules y claude.md, que permiten a los desarrolladores dar instrucciones específicas del proyecto a las herramientas de codificación de IA. Socket dijo que la campaña plantó instrucciones ocultas utilizando caracteres Unicode de ancho cero, aparentemente tratando de hacer que futuras sesiones de asistentes de IA ejecutaran “análisis de seguridad” falsos que recopilaban y exfiltraban secretos.
Eso hizo que el ataque pasara de ser un ladrón de paquetes normal a algo más parecido a un malware para entornos de desarrolladores. La instalación del paquete es solo el primer paso, siendo el objetivo real la estación de trabajo, como billeteras, repositorios, datos del navegador, claves de nube, acceso SSH y cualquier herramienta de codificación de IA que lea a continuación.
Los paquetes de Rust utilizaban scripts build.rs maliciosos para ejecutarse durante la compilación, dirigidos a los desarrolladores sui y move. Los paquetes PyPI ejecutaron JavaScript remoto al importar. Los paquetes en npm usaban ganchos postinstalación.
Socket dijo que informó los paquetes a los registros afectados y clasificó los paquetes de la campaña como maliciosos. La compañía también advirtió que el atacante abrió solicitudes de extracción para proyectos de desarrollo e inteligencia artificial, intentando agregar archivos .cursorrules y CLAUDE.md a través de rutas normales de contribución de código abierto.