Abril de 2025 fue un mes de revelaciones. Un respetado investigador de seguridad resultó ser un operativo de Corea del Norte detrás del hackeo de 50 millones de dólares a Radiant Capital. El Grupo Lazarus canalizó 1.200 millones de dólares del robo a Bybit a través de THORChain mientras sus operadores se encogían de hombros y apelaban a la descentralización. El informe IC3 del FBI situó las pérdidas por fraude cripto en EE. UU. en 9.300 millones de dólares en 2024, un 66 % más que el año anterior, y Forta descubrió que casi el 90 % de los tokens en Uniswap V2 en Base eran hard rug pulls. Mientras tanto, dos nuevos actores de amenazas entraron en escena: SLOVENLY COMET, que intercepta códigos MFA a través de infraestructura SMS comprometida, y ELUSIVE COMET, que envía falsas invitaciones de Zoom de Bloomberg para comprometer wallets de criptomonedas. Sin embargo, no todo son malas noticias. Nos enorgullece compartir que MetaMask ocupó el puesto n.º 1 en el ranking de seguridad de wallets de Coinspect en 2024, lo que refleja nuestro compromiso de larga data con la seguridad de los usuarios. Conoce todos los detalles a continuación, pero antes...
Pionera STEM destacada: Svante Arrhenius, el primero en vincular los niveles de CO₂ con el calentamiento global
Svante Arrhenius fue el primero en vincular el aumento de los niveles de CO₂ con el calentamiento de la Tierra mediante la química física.
MetaMask mantiene el primer puesto en el ranking de wallets más seguras de Coinspect
¡Lo logramos de nuevo! MetaMask Extension es la wallet de navegador self-custodial más segura, según Coinspect. El Security Score, que va de 0 a 100, se basa en cuatro listas de verificación de seguridad de wallets que incluyen permisos de aplicaciones descentralizadas, verificación de intención, acceso físico y prevención de amenazas. Gracias al equipo de Coinspect por el reconocimiento.
Las operaciones vinculadas a Corea del Norte siguen activas pese a la celebración del Día del Sol el 15 de abril de 2025
Aunque la actividad de las amenazas persistentes avanzadas (APT) vinculadas a Corea del Norte pudo haber disminuido brevemente el 15 de abril con motivo del Día del Sol, las operaciones relacionadas con la RPDC permanecieron activas durante todo el mes. Investigadores de seguridad que luchan por una causa justa, como Taylor Monahan de MetaMask, siguen desempeñando un papel clave en la exposición de las tácticas de Corea del Norte y en el descubrimiento de campañas maliciosas.
El investigador de seguridad Nick Franklin queda expuesto como actor de amenazas patrocinado por Corea del Norte detrás del hackeo a Radiant Capital
Nick Franklin, anteriormente considerado un experto en seguridad en Twitter, presuntamente ha estado trabajando en secreto para Corea del Norte. Se cree que participó en operaciones avanzadas de ciberespionaje y robos de criptomonedas, incluido el hackeo de 50 millones de dólares a Radiant Capital el pasado otoño.
Durante más de un año, Franklin se ganó la confianza de la comunidad cripto ofreciendo análisis oportunos de grandes exploits, hasta que fue descubierto distribuyendo un archivo de aplicación malicioso bajo la apariencia de un informe de seguridad. La investigación sobre este hallazgo, con la ayuda de Taylor Monahan, reveló una red más amplia de operativos de la RPDC que llevaban a cabo una serie de actividades maliciosas, desde la creación de protocolos falsos hasta la ejecución de robos de alto perfil, lo que pone de manifiesto una vulnerabilidad humana significativa en el aparato de seguridad de la industria cripto.
El Grupo Lazarus blanquea 1.200 millones de dólares del hackeo a Bybit a través de THORChain
En febrero de 2025, el Grupo Lazarus de Corea del Norte ejecutó un hackeo de 1.400 millones de dólares al exchange de criptomonedas Bybit, marcando el mayor robo de criptomonedas hasta la fecha. Las investigaciones revelaron que aproximadamente 1.200 millones de dólares de los fondos robados fueron blanqueados a través de THORChain, un protocolo descentralizado cross-chain que facilita el intercambio de criptomonedas sin intermediarios. A pesar de la presión de las autoridades, los operadores de THORChain no han bloqueado las transacciones vinculadas al robo, alegando la naturaleza descentralizada de la red.
Taylor Monahan criticó la postura de THORChain, señalando que, si bien la plataforma se proclama descentralizada, sus desarrolladores y validadores —muchos con sede en jurisdicciones con estrictas regulaciones contra el blanqueo de capitales— se han beneficiado significativamente de las comisiones por transacciones asociadas a los fondos blanqueados. Monahan subrayó las implicaciones éticas y legales de facilitar este tipo de actividades bajo la apariencia de descentralización.
Investigadores de seguridad publican fotos e información sobre operativos norcoreanos
El investigador de seguridad Cookie Connoisseur ofrece un vistazo a algunos de los perfiles y comportamientos de estos adversarios APT, con fotografías incluidas. Otros investigadores se suman para compartir sus hallazgos.
Informe IC3 del FBI: las pérdidas por fraude cripto en EE. UU. alcanzan los 9.300 millones de dólares en 2024, un 66 % más que en 2023
Según el Informe Anual 2024 del Centro de Denuncias de Delitos en Internet (IC3) del FBI, las pérdidas por fraude relacionado con criptomonedas en Estados Unidos escalaron a más de 9.300 millones de dólares, lo que supone un incremento del 66 % respecto a 2023.
Estas pérdidas se originaron a partir de diversos esquemas, como estafas de inversión, extorsión, sextorsión y actividades fraudulentas relacionadas con cajeros automáticos y quioscos de criptomonedas. El informe también señala que las víctimas mayores de 60 años sufrieron las mayores pérdidas económicas en la categoría cripto de todos los grupos de edad, lo que refuerza la necesidad de una mayor educación, advertencias a nivel de plataforma y mecanismos de protección dirigidos a los usuarios de mayor edad.
Forta descubre que el 90 % de los tokens en Uniswap V2 en Base eran hard rug pulls
Nuestros amigos de Forta descubrieron que casi el 90 % de los tokens desplegados en los pools de Uniswap v2 en la blockchain Base durante un período de 28 días eran hard rug pulls: tokens maliciosos diseñados para robar fondos a los inversores. El bajo coste y la simplicidad de desplegar en Base la han convertido en un punto caliente para los estafadores que utilizan la táctica de "spray-and-pray": desplegar tokens falsos de forma masiva, simular actividad y retirar la liquidez rápidamente una vez que los usuarios interactúan.
Un solo actor estuvo vinculado a más de 19.000 tokens fraudulentos, lo que pone de relieve la escala industrial del problema. Forta reclama defensas proactivas más sólidas, como su Forta Firewall, para ayudar a proteger a los usuarios de estas campañas de fraude de despliegue rápido.
Un ataque a la cadena de suministro reemplaza direcciones de wallets cripto mediante un paquete npm malicioso de pdf-to-office
Qué ocurrió
Actores de amenazas introdujeron un paquete malicioso llamado pdf-to-office, que simula convertir archivos PDF a documentos de Microsoft Word, pero en realidad tiene como objetivo wallets de criptomonedas como Atomic Wallet y Exodus.
Este paquete, publicado por primera vez el 24 de marzo de 2025, ha sido actualizado varias veces y sigue disponible para su descarga, habiendo sido descargado 334 veces. Inyecta código malicioso para reemplazar la dirección de la wallet del destinatario por la del atacante durante las transacciones. Este método garantiza la persistencia del malware en el sistema del desarrollador, lo que supone una amenaza significativa para la seguridad de la cadena de suministro de software.
Cómo pueden protegerse los usuarios
Para defenderse de los ataques a la cadena de suministro, verifica la autenticidad de los paquetes npm antes de instalarlos y mantén actualizado el software de tu wallet de criptomonedas. Supervisa de cerca la actividad de la wallet y, si sospechas que ha sido comprometida, desinstala y reinstala desde una fuente de confianza. Utiliza software de seguridad fiable y actualizado para detectar amenazas, y mantente informado: comparte el conocimiento con tu equipo para fortalecer la concienciación y la resiliencia general.
Herramientas como LavaMoat también pueden ayudar al aislar las dependencias de JavaScript en un sandbox y aplicar políticas de seguridad, reduciendo el riesgo de comportamiento malicioso en tu cadena de suministro de software.
Infraestructura SMS explotada para interceptar códigos de autenticación multifactor dirigidos a usuarios de criptomonedas
Qué ocurrió
Un actor de amenazas recién identificado, denominado SLOVENLY COMET, ha explotado vulnerabilidades en la infraestructura SMS para interceptar códigos de autenticación multifactor (MFA), lo que ha provocado accesos no autorizados a cuentas de Telegram, especialmente dentro de la comunidad cripto de Argentina.
Los atacantes utilizaron un bot de Telegram para recopilar sistemáticamente mensajes SMS que contenían códigos MFA, afectando a usuarios de múltiples servicios, entre ellos Google, Microsoft, Apple, Telegram, Facebook, Mercadolibre, Amazon, Binance, Instagram, TikTok, Temu y Signal. La brecha fue rastreada hasta un proveedor de pasarela SMS comprometido, lo que pone de relieve los riesgos asociados a los métodos de autenticación basados en SMS.
Cómo pueden protegerse los usuarios
El equipo SEAL de Security Alliance aconseja a los usuarios y proveedores de servicios que abandonen el MFA basado en SMS en favor de alternativas más seguras, como aplicaciones de autenticación o tokens de hardware. Para quienes puedan haber sido afectados por SLOVENLY COMET, se recomienda actuar de inmediato para proteger las cuentas y revisar la configuración de autenticación.
Falsas invitaciones de Zoom de Bloomberg utilizadas para comprometer wallets de criptomonedas
Qué ocurrió
Con el aumento de las estafas por Zoom, los investigadores de seguridad de Trail of Bits han expuesto ahora a ELUSIVE COMET: un actor de amenazas que lleva a cabo una sofisticada campaña de ingeniería social dirigida a la comunidad cripto.
Mediante falsas invitaciones para una serie llamada "Bloomberg Crypto", los atacantes buscaban comprometer wallets de criptomonedas a través de la función de control remoto de Zoom. Este método consistía en engañar a las víctimas para que instalaran malware bajo el pretexto de solucionar problemas de audio o vídeo durante la llamada. El descubrimiento pone de manifiesto la creciente sofisticación de las ciberamenazas, en particular las que explotan fallos en la seguridad operacional dentro de la industria blockchain.
Cómo pueden protegerse los usuarios
Para protegerse de ataques de ingeniería social como los vinculados a ELUSIVE COMET, es importante ser cauteloso con las invitaciones no solicitadas, especialmente aquellas que ofrecen oportunidades mediáticas o colaboraciones que parecen fuera de lo común. Verifica siempre la legitimidad de este tipo de contactos a través de canales oficiales, como direcciones de correo electrónico confirmadas o contacto directo con la organización.
Además, limita o desactiva funciones como el control remoto de Zoom a menos que sea estrictamente necesario, y asegúrate de que tus sistemas estén actualizados regularmente y reforzados con controles de acceso estrictos. La protección robusta de endpoints con monitoreo en tiempo real es esencial, al igual que la formación continua de los equipos sobre las tácticas de ataque más comunes.
Para más información sobre ELUSIVE COMET, consulta el análisis en profundidad de Jake Gallen.
El Informe de Seguridad Cripto de MetaMask de abril de 2025 cubrió la exposición de un investigador de seguridad de confianza como operativo de la RPDC, el blanqueo de 1.200 millones de dólares del hackeo a Bybit a través de THORChain, y sofisticados ataques por Zoom y SMS dirigidos a usuarios de criptomonedas. Consulta las ediciones anteriores del MetaMask Crypto Security Report para conocer más amenazas, tendencias y consejos para mantenerte seguro en el ecosistema.
