Informe de seguridad cripto: agosto de 2025

Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.

En agosto de 2025, un tema recurrente persistió: incluso los profesionales de seguridad más cuidadosos y experimentados pueden caer en estafas. Un desarrollador central de Ethereum con una década de seguridad operativa impecable perdió su wallet por una extensión de codificación con IA que usaba typosquatting. Malware generado por IA se coló en npm y fue descargado más de 1.500 veces antes de ser eliminado. Además, la brecha de LastPass siguió dando de qué hablar, reapareciendo este mes a través de una organización de GitHub de Toptal comprometida. Las amenazas se ocultan cada vez más en las herramientas de desarrollo y cadenas de suministro en las que los usuarios suelen confiar por defecto, razón por la cual MetaMask lanzó Kipuka, una nueva herramienta de LavaMoat diseñada para contrarrestarlas. Conoce todos los detalles a continuación, pero primero...

Pionera STEM destacada: Alonzo Church y el desarrollo del cálculo lambda

El matemático Alonzo Church desarrolló el cálculo lambda, un marco fundamental para la informática. Junto con su discípulo Alan Turing, nos legaron la tesis Church-Turing, que define qué significa que un problema sea computable. Construir las bases formales para razonar rigurosamente sobre lo que un sistema puede y no puede hacer es el mismo instinto que impulsa la seguridad demostrable y verificable.

MetaMask lanza Kipuka, su nuevo kit de herramientas de LavaMoat

Kipuka es el nuevo kit de herramientas de seguridad LavaMoat de MetaMask, diseñado para proteger a los desarrolladores de paquetes npm maliciosos. Específicamente, busca reducir la probabilidad de ataques exitosos en los que un paquete npm malicioso intenta dañar o comprometer la máquina local de un desarrollador al instalarse o durante el desarrollo. Ante el creciente auge del malware de tipo stealer y los gusanos dirigidos a equipos de escritorio distribuidos dentro de paquetes npm, Kipuka busca neutralizar los ataques incluso cuando no se limitan a scripts de instalación.

Ejecutar entornos de desarrollo en contenedores o Máquinas Virtuales (VMs) no es algo nuevo. Lo que hace único a Kipuka es que, una vez instalado, ejecuta de forma transparente las llamadas al CLI de npm (u otros gestores de paquetes) en contenedores, sin necesidad de recordar configurar o iniciar un entorno seguro.

Obtén acceso anticipado a Kipuka y prueba su compatibilidad con distintos flujos de trabajo y configuraciones antes de su lanzamiento en beta.

El plugin LavaMoat para Webpack recibe una actualización de compatibilidad

El plugin LavaMoat para Webpack de MetaMask también recibió una actualización en agosto de 2025, mejorando su compatibilidad con las funciones de Webpack, las capacidades del navegador y el ecosistema en general. El plugin ya salió de la fase beta. Adóptalo en tus proyectos de interfaz web hoy mismo y mantente al día con todas nuestras últimas versiones de LavaMoat.

Es falso que Google vaya a prohibir todas las wallets sin custodia en sus tiendas de aplicaciones

A mediados de agosto, comenzaron a circular rumores en CT de que Google prohibiría pronto las wallets sin custodia en su App Store. No es así, y el propio Google lo desmintió. En resumen: MetaMask no va a ningún lado.

Coinbase impulsa una reforma del Anti Lavado de Dinero con tecnología ZK tras el hackeo de datos de 70.000 clientes

Apenas unos meses después de sufrir una importante brecha de datos que afectó a casi 70.000 clientes, Coinbase señala ahora las herramientas de privacidad criptográfica como una posible solución a lo que denomina leyes "arcaicas" contra los delitos financieros. La Ley de Secreto Bancario (BSA, por sus siglas en inglés) "sigue anclada en requisitos de décadas atrás que reflejan protocolos de cumplimiento basados en papel y un sistema financiero en el que los fondos tardaban días en moverse, no segundos", explica Paul Grewal, Director Legal de Coinbase.

"Más allá de la molestia que sienten los clientes cada vez que repiten el proceso KYC, estos archivos personales son un imán para los delincuentes. Las empresas están obligadas por ley a conservar tus datos durante años y a enviarlos a funcionarios." Si bien Coinbase no culpa directamente a la BSA de su filtración de datos, parece que la empresa intenta reconducir el debate hacia una discusión más amplia sobre los requisitos regulatorios de la BSA y los riesgos asociados. Te mantendremos informado sobre cómo evoluciona esta situación…

Turquía detiene al investigador cripto Fede Intern tras la condena de Roman Storm

Tras el juicio y condena del desarrollador de Tornado Cash Roman Storm en Turquía, un investigador conocido como Fede's Intern, también llamado Federico Carrone, fue detenido por agentes del aeropuerto turco cuando intentaba ingresar al país. Fue retenido debido a una denuncia presentada por el Ministro del Interior que lo acusaba de ayudar a personas a hacer un uso indebido de Ethereum. Al parecer, su única vinculación con el asunto es un artículo que escribió explorando técnicas de desanonimización para Tornado Cash. Carrone nunca desarrolló funciones de privacidad para Tornado Cash.

"El Ministro del Interior había presentado una denuncia acusándome de ayudar a otros a hacer un uso indebido de Ethereum, supuestamente en relación con un protocolo de privacidad", compartió Carrone. "Escribir código para hacer privadas las transacciones no te convierte en criminal. Los criminales son quienes infringen la ley."

Taylor Monahan, de MetaMask, también se pronunció al respecto: "Uno de los aspectos más interesantes y poco reportados del enfoque de EE. UU. hacia las criptomonedas es el impacto que tiene en otros países y, por ende, a nivel global. Países que a menudo se sitúan en algún punto entre la incompetencia, la disfunción y la corrupción absoluta."

La saga de la brecha de LastPass continúa con el hackeo del GitHub de Toptal

La empresa de software Toptal tuvo su organización de GitHub comprometida, y algunos de sus paquetes fueron publicados con scripts maliciosos añadidos. Esto refleja una tendencia más amplia de malware que se cuela en paquetes bien establecidos.

Tras conocerse la noticia del hackeo, Toptal también reveló que los paquetes Picasso y Xene estuvieron comprometidos durante varias horas el 20 de junio de 2025. Toptal consideró que el incidente estaba relacionado con un compromiso de credenciales derivado de la brecha de LastPass.

Por si creías que ya habíamos terminado de lidiar con las consecuencias del descomunal hackeo de LastPass, ¡piénsalo de nuevo! Las criptomonedas fueron, y siguen siendo, solo un objetivo temprano. Actualiza todo lo que hayas almacenado alguna vez en LastPass antes de la brecha.

La coalición cibernética global Project Atlas, liderada por Canadá, descubre más de 70 millones de dólares en criptomonedas robadas

Project Atlas es una iniciativa centrada en las víctimas liderada por el Equipo de Fraude Cibernético (CEFT) de la Policía Provincial de Ontario, enfocada en identificar y desarticular estafas de inversión. Liderado por Canadá pero con alcance global, reúne a una coalición internacional de agencias de seguridad y actores del sector privado. Hasta la fecha, el proyecto ha descubierto más de 70 millones de dólares en activos cripto robados de más de 2.000 wallets, y ha congelado 50 millones de dólares.

Una extensión de IA maliciosa vacía la wallet de un desarrollador central de Ethereum

Qué ocurrió

Coin Telegraph informa sobre el caso del desarrollador central de Ethereum Zak Cole, cuya wallet fue vaciada por una extensión de cursor con IA maliciosa, a pesar de sus sólidas prácticas de seguridad operativa. "En más de 10 años, nunca había perdido ni un wei por culpa de hackers. Entonces me apresuré a publicar un contrato la semana pasada", explicó Cole.

El ataque funcionó creando una extensión maliciosa que utilizaba typosquatting para imitar una extensión legítima. En este caso, los atacantes suplantaron una extensión legítima de Solidity haciéndose pasar por el conocido editor Juan Blanco. La extensión maliciosa fue publicada por "Juan Bianco" en lugar de "Juan Blanco".

Cómo pueden protegerse los usuarios

Aunque tengas prisa por publicar rápidamente, recuerda siempre leer la letra pequeña. Ten en cuenta que, debido al formato, algunos caracteres y elementos de diseño de extensiones maliciosas pueden parecer idénticos, y esto puede ser un vector de explotación.

Los estafadores incluso han logrado colocar anuncios con sus extensiones falsas en tiendas de aplicaciones. Para protegerte, recuerda verificar la fecha de publicación de una extensión antes de añadirla a tu IDE. Cole también señaló que había una cantidad extremadamente alta de descargas a pesar de haber sido publicada hace apenas unos días. Esto es sumamente inusual, ya que las extensiones no acumulan ese volumen de descargas en un período tan corto. Estate atento a combinaciones extrañas de palabras en la descripción del sitio y a ubicaciones de desarrolladores en lugares poco probables.

El hackeo del dispositivo de un hacker de la RPDC revela las estrategias de Corea del Norte para infiltrarse en proyectos cripto

Qué ocurrió

Un investigador de seguridad desconocido accedió al dispositivo de un hacker informático de la RPDC y reveló cómo un pequeño equipo norcoreano gestiona un amplio conjunto de identidades falsas para conseguir empleos en roles de desarrollo de software. ZachXBT revela que este equipo informático de la RPDC estaba profundamente infiltrado en cinco empresas cripto. Los hackers lo logran comprando identidades falsas, cuentas de LinkedIn y cuentas de Upwork para conseguir empleo. Esta táctica les permite construir una reputación como desarrolladores creíbles.

Cómo pueden protegerse los usuarios

Si eres una empresa cripto y crees que has sido comprometida: primero, verifica que las cuentas de LinkedIn, GitHub y correo electrónico expuestas de los trabajadores de la RPDC no formen parte de tu organización. Luego, modifica tu proceso de contratación para incluir métodos que permitan validar la ubicación de los posibles empleados.

Malware creado con IA supera las 1.500 descargas antes de ser eliminado

Qué ocurrió

Malware generado por IA fue subido a NPM y descargado por más de 1.500 personas antes de ser eliminado. Este paquete utilizaba scripts postinstall para comprometer las claves privadas de las víctimas. Los scripts postinstall estaban diseñados para ocultarse en dispositivos con Windows, Mac y Linux. Una vez instalado, el malware escaneaba archivos que almacenaban claves privadas.

Cómo pueden protegerse los usuarios

Los desarrolladores pueden protegerse utilizando los controles de seguridad creados por LavaMoat. El uso de @lavamoat/allow-scripts y Kipuka impide que los scripts postinstall maliciosos lleguen a tus aplicaciones. Además, es importante que te asegures de descargar y ejecutar únicamente proyectos publicados por fuentes de confianza. Si debes descargar paquetes no verificados o poco populares, lo más recomendable es usar una VM desechable para descargar y ejecutar dichos proyectos. De este modo, en caso de que tu VM se vea comprometida, los datos confidenciales de tu ordenador personal estarán protegidos.

El Informe de Seguridad Cripto de MetaMask de agosto de 2025 cubrió el lanzamiento de una nueva herramienta de LavaMoat llamada Kipuka, el impulso de Coinbase para una reforma del Anti Lavado de Dinero con tecnología ZK, el dispositivo de un hacker de la RPDC que reveló las estrategias de infiltración informática de Corea del Norte, el vaciado de la wallet de un desarrollador central de Ethereum por una extensión de IA maliciosa, y la detención del investigador cripto Fede Intern en Turquía. Consulta ediciones anteriores del informe de seguridad cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.