La interminable novedad del malware blockchain

El mundo cripto está en efervescencia por EtherHiding, un nuevo y sofisticado método de ataque en el que actores maliciosos ocultan código dañino dentro de smart contracts para distribuir malware a través de la blockchain. Taylor Monahan, de MetaMask, comparte su perspectiva sobre por qué cada nueva oleada de supuesto malware en blockchain acapara titulares, y por qué los defensores deberían centrarse en lo fundamental antes de dejarse llevar.

Un bucle infinito

Cada vez que aparece un nuevo informe sobre malware onchain, los investigadores de seguridad vuelven a proclamar: "¡Ha llegado la primera amenaza descentralizada, inmutable e imparable!" LinkedIn se enciende. Los blogs proliferan. Los titulares cargados de miedo se optimizan. Se vende detección y respuesta en endpoints impulsada por IA.

Un coro de respuestas se hace eco: "¡Ya lo decía yo! ¡La blockchain es el mecanismo de distribución perfecto para los estafadores!" Luego, como siempre, la campaña se desvanece. Los analistas pasan al siguiente exploit llamativo y, de cara al informe del año siguiente, olvidan que "la primera amenaza descentralizada, inmutable e imparable" alguna vez llegó.

Los titulares sobre malware en blockchain no están del todo equivocados. Es malware. Aprovecha la blockchain. Pero básicamente ahí queda la cosa. Las campañas son poco destacables en todos los sentidos, salvo por su único truco ingenioso, que es precisamente por qué se olvidan tan rápido.

Las cosas serían distintas si fueran a la vez novedosas y trascendentes, algo revolucionario o devastador. Pero, en realidad, a los investigadores de seguridad simplemente les encanta la novedad. Es nuestra debilidad. Cualquier cosa ligeramente fuera de lo común, como botnets que obtienen menos de 80 bytes de OP_RETURN o malware que actualiza configuraciones a través de un smart contract, nos desata. No podemos evitar revolcarnos en ello, imaginando un mundo lleno de malware descentralizado e imparable.

Para ser justos, un subconjunto de actores de amenazas comparte esta misma afición. Los auteurs del cibercrimen que construyen una narrativa junto a sus exploits redactan mensajes dramáticos para atraer a los medios y firman su malware para asegurarse de que todos sepan que son ellos. Sus campañas son llamativas, entretenidas y predeciblemente efímeras. Con frecuencia están demasiado ocupados compitiendo por atención como para darse cuenta de que hoy ganaron 13 dólares (o de que el FBI se apoderó de su chat grupal ayer).

Sí, hay lecciones que aprender de esas operaciones. "Cómo ser un actor de amenazas inmutable e imparable" simplemente no es una de ellas.

Los actores de amenazas que causan daño real son pragmáticos. El ROI es su norte. La discreción, la escala y la sostenibilidad son su camino. Y están constantemente ajustando sus técnicas en respuesta a los obstáculos.

• Nadie lee los correos electrónicos → migrar a Telegram

• GitHub elimina repositorios → migrar a repositorios privados

• Los repositorios privados son inusuales y generan sospechas → migrar a Bitbucket o GitLab

• MetaMask marca los frontends maliciosos en cuanto aparecen → usar Google Docs o repositorios de Github en lugar de landing pages

Por eso, cada vez que veo a otro actor de amenazas usando la blockchain, siempre me pregunto qué problema les resuelve. ¿Cómo mueve la aguja en términos de convertir campañas fallidas en exitosas?

Malware, conoce la blockchain

El malware es software malicioso. Es código. No cae del cielo ni aparece por arte de magia. El código en sí debe llegar al dispositivo de la víctima y luego ejecutarse para llevar a cabo sus operaciones.

Con el software normal, visitas un sitio web o una tienda de aplicaciones y descargas la aplicación, que luego se instala y se ejecuta en tu dispositivo. Este proceso de instalación descomprime el software real y luego ejecuta el código que contiene. Puede hacer cosas como mover archivos al lugar correcto, configurar ajustes personales, consultar un servidor en busca de actualizaciones disponibles o configurarse para iniciarse automáticamente cada vez que enciendes el ordenador.

El malware hace todo esto también. Solo que tiene que ser sigiloso al respecto. El software malicioso no puede hacer cosas maliciosas si el usuario final, o cualquier otra persona, detecta que es malicioso.

Y siempre hay personas intentando proteger a los usuarios finales del malware. Google Chrome muestra pantallas de advertencia ante URLs y descargas maliciosas. Tu sistema operativo impide que código malicioso se instale, especialmente sin tu conocimiento. Las redes sociales, los proveedores de hosting, los registradores de dominios y los repositorios de código toman medidas para detectar y evitar que los operadores de malware los utilicen con fines maliciosos.

Como resultado, la forma en que el malware llega a los usuarios finales ha evolucionado significativamente con el tiempo. Los creadores y operadores de malware hacen grandes esfuerzos para dividir las cargas maliciosas en múltiples etapas, ofuscar URLs y establecer alternativas en caso de que algo sea eliminado.

Espera, ¿dónde está la blockchain?

Distintos actores de amenazas han utilizado la blockchain de diferentes maneras a lo largo de los años.

El papel que desempeña la blockchain es generalmente el mismo, aunque el mecanismo exacto y los detalles técnicos difieran:

• El código malicioso necesita comunicarse con varios recursos para obtener o mantener el control del dispositivo de una víctima.

• Esos recursos cambian con frecuencia (por ejemplo, cuando un servidor es dado de baja).

• Si un fragmento de código malicioso no puede cambiar (por ejemplo, el malware ya está en el dispositivo de una víctima o el código está desplegado en miles de sitios WordPress comprometidos), muere cuando un recurso del que depende se desconecta.

Así que meten una blockchain y de repente nada puede ser eliminado, todo es mágico, invisible y anónimo, ¡y la amenaza descentralizada, inmutable e imparable ha llegado!

Pico en 2019-2021

| Glupteba BotnetMalware que obtenía control total de backdoor sobre las máquinas infectadas, exfiltraba credenciales y cookies, desplegaba proxies para anonimizar el tráfico, facilitaba el fraude con tarjetas de crédito y el abuso publicitario, y (desde 2019) incluso contaba con un cryptominer. | El opcode OP_RETURN de Bitcoin se usaba para incrustar un dominio C2 de respaldo cifrado dentro de las transacciones. Cuando los servidores C2 principales se desconectaban, las máquinas infectadas podían recorrer una lista de servidores Bitcoin Electrum hasta recuperar con éxito los datos de la blockchain. Esa cadena se descifraba luego para obtener la URL del servidor C2 actualizado. | Resiliencia: Añade una capa de resiliencia que garantizaba que las máquinas infectadas permanecieran infectadas, incluso si los C2 originales eran dados de baja. | | Sep 2023– Jul 2025 | Etherhiding - CLEARSHORT UNC5142

Descargador JavaScript multietapa utilizado para facilitar la distribución de malware. Primero, se inyecta un payload JavaScript en sitios web vulnerables que recupera el payload de segunda etapa desde un smart contract malicioso. El smart contract obtiene una landing page de CLEARSHORT desde un servidor controlado por el atacante. Esa landing page aprovecha ClickFix, una popular técnica de ingeniería social que engaña a las víctimas para que ejecuten localmente un comando malicioso usando Windows Run. | En lugar de incrustar toda su cadena de ataque en el sitio web comprometido, los actores maliciosos almacenaban componentes en la BNB Smart Chain usando smart contracts para guardar payloads cortos.

Inicialmente, los datos almacenados en la blockchain eran un payload cifrado (en lugar de una cadena de URL literal), pero este payload era un fragmento muy corto que hacía una solicitud a una URL específica y luego ejecutaba eval() con lo que esa URL devolvía. Con el tiempo, el mecanismo evolucionó para incluir múltiples capas de contratos que ejecutan algunas verificaciones y luego apuntan al siguiente contrato. El contrato final albergaba la URL que hospedaba el payload cifrado + la clave de descifrado y la URL que hospedaba el payload de segunda etapa. | Resiliencia: Aumenta la resiliencia frente a los esfuerzos de detección y eliminación. Los mecanismos de protección basados en red son más difíciles de implementar para el tráfico Web3. Las operaciones de incautación y eliminación también se ven obstaculizadas, dada la inmutabilidad de la blockchain. Sigilo: Almacenar código malicioso dentro de un smart contract hace que sea más difícil de detectar con las herramientas tradicionales de seguridad web. Las llamadas a endpoints legítimos ayudan a que el tráfico malicioso se mezcle con la actividad normal. Agilidad: Al usar múltiples contratos, los atacantes tenían un punto de entrada estable que podía apuntar a diferentes lugares (y payloads) según fuera necesario.

| | Feb 2025– Presente | Etherhiding UNC5342 / DPRK / Contagious InterviewEsta campaña tiene como objetivo a desarrolladores, particularmente en los sectores de criptomonedas y tecnología, para robar datos sensibles/criptomonedas y obtener acceso persistente a redes corporativas. La campaña emplea un proceso de infección de malware multietapa para comprometer el sistema de la víctima en sistemas Windows, macOS y Linux. | Utiliza EtherHiding para obtener, descifrar y ejecutar payloads maliciosos desde smart contracts en la BNB Smart Chain y Ethereum. La víctima ejecuta código que lanza un descargador JavaScript inicial que luego interactúa con un smart contract malicioso y descarga el payload de segunda etapa. Típicamente usa eth_call o eth_getStorageAt (operaciones de lectura para obtener los datos de la cadena). | Resiliencia: No hay un servidor central que eliminar. Una vez que un smart contract es desplegado, no puede ser fácilmente eliminado ni alterado por nadie que no sea el propietario del contrato. Sigilo: Los atacantes pueden recuperar el payload malicioso usando llamadas de solo lectura que no dejan un historial de transacciones visible. Agilidad: El atacante puede actualizar el payload malicioso en cualquier momento para cambiar sus métodos de ataque, actualizar dominios o desplegar diferentes tipos de malware. | | 2025 | Cross-Chain TxDataHidingRebota entre las blockchains TRON, Aptos y BSC para ofuscar aún más el rastro. Una blockchain actúa como sistema de índice o puntero que almacena una referencia a un hash de transacción en una segunda blockchain (típicamente BSC), que en última instancia contiene el payload malicioso. | Emplea una blockchain arbitraria que actúa como puntero a un hash de transacción de BSC. Luego usa eth_getTransactionByHash para obtener los datos de esa transacción de BSC, que en última instancia contiene un payload ofuscado utilizado para entregar la siguiente etapa del malware. Las llamadas a TRON son raw_data.data y las llamadas a Aptos son payload.arguments[0]—ambas llamadas de lectura para recuperar información de la cadena. Cualquier cadena que soporte campos de datos personalizados en transacciones podría servir como capa de puntero. | Resiliencia: Los servidores C2 tradicionales pueden ser incautados por las fuerzas del orden o cerrados por los proveedores de hosting, pero los datos almacenados en la blockchain se replican en miles de nodos. Sigilo: Las conexiones a api.trongrid.io, aptoslabs.com, binance.org aparecen como HTTPS genérico a servicios legítimos sin indicadores maliciosos evidentes. El C2 tradicional deja registros de servidor, certificados TLS, registros de hosting, geolocalización de IP, pero un "C2 blockchain" solo crea direcciones seudónimas y hashes de transacciones sin servidores ni registros. Agilidad: Puede modificar payloads en cualquier momento publicando nuevas transacciones en la blockchain mientras las direcciones hardcodeadas del malware nunca cambian. Las máquinas pueden obtener automáticamente payloads actualizados sin modificaciones de código. |

No tan rápido

Instalar malware en el dispositivo de una víctima requiere múltiples etapas, múltiples recursos y cierta comunicación entre esos recursos. Algunas de estas etapas existen únicamente para evadir la detección y otras para mantener el control a lo largo del tiempo.

Esto es importante de entender porque el malware nunca "se ejecuta en la blockchain". La blockchain ni siquiera reemplaza toda la cadena de infección.

Por ejemplo, aquí está un antes y después (simplificado) de la cadena de infección de Glupteba, hacia 2019:

Y aquí está el antes y después de la evolución inicial del Etherhiding de UNC5142:

Visto así, queda más claro que los elementos de blockchain se injetan sobre una cadena de infección por lo demás convencional. Es la evolución de una operación existente. A veces incluso es una respuesta directa a haber sido interrumpida.

Esta diferencia importa para los defensores que necesitan separar la novedad del riesgo. Los controles principales que detienen estas campañas siguen siendo en última instancia los mismos. Los actores de amenazas siempre sortearán las interrupciones, como la eliminación de C2s, cuando saben que la campaña sigue teniendo éxito en otros aspectos. Las personas y las organizaciones deben trabajar para reducir los compromisos iniciales, detectar amenazas basándose en el comportamiento y no en indicadores estáticos, y garantizar que existan controles para contener los endpoints tras el compromiso. La existencia de la blockchain no cambia nada de esto.

Las ventajas de la blockchain

Con esto en mente, revisemos las ventajas de la blockchain destacadas en nuestra tabla por investigadores a lo largo de los años.

Resiliencia

• "Las URLs hardcodeadas son fáciles de bloquear y, por tanto, dejan la instalación del malware inoperativa." Fuente: Cerber Ransomware

• "Garantiza que las máquinas infectadas permanezcan infectadas, incluso si los C2 originales son dados de baja." Fuente: Glupteba

• "Aumenta la resiliencia frente a los esfuerzos de detección y eliminación. Las operaciones de incautación y eliminación también se ven obstaculizadas dada la inmutabilidad de la blockchain." Fuente: EtherHiding de UNC5142

• "No hay un servidor central que eliminar." Fuente: EtherHiding de UNC5342

• "Los servidores C2 tradicionales pueden ser incautados por las fuerzas del orden o cerrados por los proveedores de hosting, pero los datos almacenados en la blockchain se replican en miles de nodos descentralizados." Fuente: Cross-Chain TxDataHiding

• "Una vez que un smart contract es desplegado, no puede ser fácilmente eliminado ni alterado por nadie que no sea el propietario del contrato." Fuente: EtherHiding de UNC5342

Verificación de la realidad: La blockchain se usa más comúnmente como puntero y existe entre dos piezas de infraestructura tradicional.

Los autores de malware han empleado durante años una amplia variedad de mecanismos de "puntero" que se ocultan a plena vista, en hosts a prueba de balas o en plataformas de contenido legítimas. Estos también pueden ser muy difíciles, o incluso imposibles, de detectar y/o eliminar.

Las llamadas para recuperar datos de la blockchain siguen realizándose a través de endpoints de API tradicionales alojados por proveedores de servicios de infraestructura tradicionales, y a veces incluso usan claves de API tradicionales. Si bien no puedes dar de baja todo el sistema (ya que en última instancia es un negocio que opera de buena fe y presta servicios principalmente a usuarios legítimos), los investigadores de seguridad pueden informar a las empresas sobre este tipo de actividad y trabajar con ellas para tomar medidas.

Esto no es diferente de cualquier otra situación en la que un actor malicioso usa infraestructura legítima para distribuir sus payloads. Siempre es frustrante cuando sabes que cierta entidad podría actuar, pero no lo hace. El sector blockchain en particular tiene su propia red de investigadores de seguridad que no está completamente integrada con las redes de investigación de seguridad tradicionales. Sin embargo, eso no significa que no exista. Si alguna vez necesitas presentaciones o compartir inteligencia de esta naturaleza, hay personas en blockchain que se preocupan profundamente, conocen a todo el mundo y siempre están dispuestas a ayudar. Esto incluye a todos nosotros en MetaMask Security, así como a organizaciones como SEAL. Ponte en contacto.

Sigilo

• "Almacenar código malicioso dentro de un smart contract hace que sea más difícil de detectar que con las herramientas tradicionales de seguridad web que podrían escanear el contenido del sitio web directamente." Fuente: EtherHiding de UNC5142

• "La BNB Smart Chain es una plataforma legítima. Usarla puede ayudar a que el tráfico malicioso se mezcle con la actividad normal como medio para evadir la detección." Fuente: EtherHiding de UNC5142)

• "Los atacantes pueden recuperar el payload malicioso usando llamadas de solo lectura que no dejan un historial de transacciones visible." Fuente: EtherHiding de UNC5342

• "Las conexiones a APIs de blockchain—api.trongrid.io, aptoslabs.com, binance.org, etc.—aparecen como HTTPS genérico a servicios legítimos sin indicadores maliciosos evidentes." Fuente: Cross-Chain TxDataHiding

• "El C2 tradicional deja evidencia extensa (registros de servidor, certificados TLS, registros de hosting y geolocalización de IP), pero el C2 blockchain solo crea direcciones seudónimas y hashes de transacciones sin servidores ni registros." Fuente: Cross-Chain TxDataHiding

• "Los mecanismos de protección basados en red son más difíciles de implementar para el tráfico web3 en comparación con el tráfico web tradicional, dada la falta de uso de URLs tradicionales." Fuente: EtherHiding de UNC5142

Verificación de la realidad: Interactuar con "la blockchain" es como interactuar con cualquier otro proveedor de servicios en la nube

La blockchain es simplemente una enorme base de datos pública de todas las transacciones históricas junto con una verificación criptográfica compleja que debe ocurrir cada ~10 segundos. Casi siempre se ejecuta en infraestructura tradicional y dedicada con todo tipo de balanceo de carga, APIs y otras orquestaciones. Lo que cada proveedor de servicios registra y conserva depende enteramente de su uso, usuarios, historial, política de privacidad, ubicación, relación con los usuarios y los servicios ofrecidos.

Como ejemplo, si un servicio blockchain requiere un pago mensual, normalmente cobra mediante tarjeta de crédito, como una empresa web2. Si acepta pagos en cripto, sus direcciones onchain son ampliamente conocidas y puedes ver al actor de amenazas pagando. A diferencia de los pagos tradicionales, cualquiera puede ver a DPRK pagando a Namecheap por dominios y a Debank por créditos de API. Esta es inteligencia accionable de alta confianza que antes no estaba disponible.

El ordenador del usuario promedio no hace ping aleatoriamente a nada relacionado con cripto. Si tu sandbox ejecutando un payload misterioso de repente lo hace, definitivamente deberías mirarlo directamente. Incluso en condiciones normales, las llamadas a blockchain no son ni de lejos tan legítimas como, por ejemplo, las llamadas a Microsoft, GitHub, AWS, Google o Cloudflare. Y todos ellos distribuyen regularmente payloads maliciosos.

Claro, las empresas de cripto no pueden bloquear todo el tráfico cripto como medida de prevención. "¡Por suerte, las empresas de cripto no tienen ningún monitoreo, así que no pasa nada!" Estoy bromeando, por supuesto. Toda empresa de cripto seria cuenta con un serio Sistema de Gestión de Información y Eventos de Seguridad (SIEM) y Detección y Respuesta en Endpoints (EDR), diseñados para detectar y contener con éxito payloads reales de Lazarus. Los payloads de Contagious Interview o MaaS, incluso los que usan la blockchain, se detectan exactamente de la misma manera en que se detectaban antes de que usaran la blockchain.

Agilidad

• "Aunque los smart contracts en sí mismos son inmutables, despliegan un smart contract de primer nivel que contiene un puntero a un smart contract de segundo nivel. El contrato de primer nivel actúa como un punto de entrada estable cuya dirección nunca cambia en el sitio web comprometido, dirigiendo el JavaScript inyectado para obtener código de un contrato de segundo nivel, dando a los atacantes la capacidad de cambiar este objetivo sin alterar el sitio web comprometido." (EtherHiding de UNC5142)

• "El atacante puede actualizar el payload malicioso en cualquier momento para cambiar sus métodos de ataque, actualizar dominios o desplegar diferentes tipos de malware." (EtherHiding de UNC5342)

• "El atacante puede modificar payloads en cualquier momento publicando nuevas transacciones en la blockchain mientras las direcciones hardcodeadas del malware nunca cambian, lo que significa que las máquinas infectadas obtienen automáticamente payloads actualizados sin modificaciones de código." (Cross-Chain TxDataHiding)

Verificación de la realidad: Así es también como funciona internet

Los actores de amenazas ocultan un payload en una imagen, actualizan la imagen y de repente el malware es mágicamente diferente. Las URLs son punteros a direcciones IP, que son punteros a contenido alojado en servidores. Si no puedes eliminar el contenido literal, eliminas las rutas usadas para acceder a él. Si no puedes eliminar las rutas, haces que quienes las gestionan las bloqueen.

La diferencia clave entre datos arbitrarios almacenados en un sitio web versus en una blockchain es que cuesta dinero escribir datos arbitrarios en la blockchain y hay un evento público que ocurre cada vez que sucede. Las comisiones de transacción pueden oscilar entre 1 y más de 100 dólares dependiendo de las condiciones de la red. Algunas cadenas son más baratas que otras, lo que hace que esto sea menos problemático. Pero sigue teniendo un costo y esos pagos dejan un rastro.

La blockchain es pública, al fin y al cabo. Los proveedores de servicios y los exchanges tienen bases de datos de actividad correlacionada de usuarios finales, direcciones IP, huellas digitales de dispositivos y a veces documentación KYC completa. Incluso las transacciones básicas requieren cierta interacción con elementos tradicionales de internet que obviamente tienen cierta cantidad de datos tradicionales de internet. La cantidad de datos depende enteramente de cómo el actor de amenazas esté interactuando con la blockchain. Pero la blockchain no es anónima.

El desenlace

En teoría, un sistema de almacenamiento descentralizado, irreversible y resistente a la censura es el sueño de cualquier actor de amenazas. En la práctica, estas cepas de malware "impulsadas por blockchain" nunca parecen despegar como sí lo hace otro tipo de tradecraft.

CLICKFIX, por ejemplo, fue rápidamente adoptado por un gran número de grupos de amenazas diferentes. La idea de que podías convencer a los usuarios finales de copiar y pegar directamente en su línea de comandos para eludir las protecciones de primera línea fue realmente un cambio de juego. Mientras tanto, siete años después, el malware en la blockchain sigue siendo lo suficientemente novedoso como para incendiar el mundo de la seguridad cada vez que alguien encuentra una nueva implementación.

En parte, esto se debe a que las blockchains no reemplazan (ni pueden hacerlo) toda la cadena de infección, ni siquiera la mayor parte de ella. Hay cuentas en redes sociales, proveedores de hosting, registradores de dominios y uno o más servidores C2 que se utilizan para distribuir varias etapas del malware, apuntar a la siguiente o servir de respaldo en caso de que una falle. La blockchain añade otro flujo de trabajo y otro paso encima de todos los flujos existentes.

También se debe a que la blockchain conlleva sus propios costos y riesgos.

¿Por qué arriesgarse a dejar permanentemente tu OpSec en un registro público para que cualquiera lo descubra cuando hay hosts a prueba de balas, sitios WordPress comprometidos y plataformas de contenido gratuitas que se ofrecen como infraestructura desechable? ¿Por qué arriesgarse a que tu operación, que de otro modo no sería detectada, sea detectada al instante por todas las WiFis públicas, hoteles, cruceros, escuelas y/o lugares de trabajo que aún bloquean por defecto todo lo remotamente relacionado con "blockchain"?

Parte de la respuesta es simplemente porque pueden. Es divertido, ingenioso, novedoso y único. Quizás les haga tener más éxito, o al menos sentirse como estafadores del futuro. Los actores de amenazas también son personas. Tienen objetivos y motivaciones. No siempre actúan de forma racional.

Sin embargo, creo que la respuesta real se revela en los informes públicos sobre estos mecanismos. Parece que realmente sí evade la detección. De alguna manera, simplemente usar una blockchain les permite mantener sus C2s ocultos por más tiempo. De alguna manera, los sandboxes se confunden cuando no pueden encontrar el malware porque está en una llamada a una API de blockchain.

Irónicamente, este beneficio no se debe a que no pueda detectarse. (Sí puede). No se debe a que sea realmente más anónimo, sigiloso o privado que todo lo demás que hacen. (Realmente, realmente no lo es). El beneficio se deriva casi en su totalidad del hecho de que los investigadores de seguridad perciben que es así.

Por ello, debemos esperar que los actores de amenazas continúen experimentando de esta manera. Los investigadores de seguridad también deben seguir rastreando y publicando sobre estas campañas. Pero, al menos por ahora, el "malware blockchain" sigue siendo una nota al pie relativamente curiosa en una historia mucho más grande y mucho más sombría.

La mayor parte de nuestro tiempo y energía debe dedicarse a actuar sobre las cosas que tienen un impacto real en las personas e instituciones: las cosas que previenen pérdidas y mantienen a las personas seguras, incluso cuando insisten en pegar comandos aleatorios en una caja negra solo porque un desconocido en internet se lo dijo.

Si por alguna razón los aspectos blockchain de estas campañas son realmente el obstáculo para que algunas empresas de seguridad puedan detectar, desanonimizar y disrumpir mejor estas campañas, el mundo de la seguridad web3 está más que dispuesto a ayudar. Por favor, ponte en contacto con nosotros en MetaMask Security.