Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que necesitas conocer.
Julio de 2025 fue un mes repleto de suplantaciones: de wallets, de proyectos abandonados y de extensiones de navegador. Más de 40 extensiones fraudulentas que se hacían pasar por wallets cripto fueron publicadas en Firefox. Los atacantes reactivaron los dominios caducados de proyectos cripto extintos para vaciar las cuentas de quienes regresaban por error. Y dos líneas de código malicioso se colaron en una extensión de Ethereum de código abierto a través de un pull request trampa. El mes también trajo algunas victorias satisfactorias para los buenos. GMX recuperó la mayor parte de un hackeo de 42 millones de dólares gracias a una recompensa white hat. Las agencias estadounidenses desmantelaron una extensa operación de robo de identidad norcoreana. Y Grecia realizó su primera incautación de criptoactivos. El análisis completo está a continuación, pero primero...
Pionera STEM destacada: Chien-Shiung Wu, la Reina de la Investigación Nuclear
La física Chien-Shiung Wu, la "Reina de la Investigación Nuclear", trabajó en el Proyecto Manhattan y posteriormente diseñó el experimento que refutó la ley de conservación de la paridad, un principio que los físicos simplemente habían dado por cierto. Negarse a aceptar una suposición "conocida" por fe, y construir la prueba precisa que la confirme o la refute, es exactamente el hábito mental que también sustenta un trabajo de seguridad sólido.
El Snap Wise Signer usa IA para detectar transacciones sospechosas en wallets
Mira la elegante demo de Patrick Collins sobre cómo su MetaMask Snap, llamado Wise Signer, utiliza IA para rastrear la web y determinar si una transacción puede ser vulnerable en función de direcciones sospechosas, call data y red. Aunque este Snap está actualmente en beta, ya puedes revisar el código y leer más sobre los MetaMask Security Snaps en nuestra página de soporte. Gracias, Patrick, por ayudar a luchar por la causa correcta.
MetaMask mantiene el primer puesto de Coinspect como la wallet web3 más segura
MetaMask continúa ocupando el puesto #1 en el ranking de wallets web3 más seguras de Coinspect en móvil (iOS y Android) y Chrome. La seguridad de nuestra extensión de navegador también obtuvo una puntuación del 100% en prevención de amenazas.
Las estafas con dapps zombi van en aumento con más de 100 incidentes reportados
Hablando de Coinspect, recientemente destacaron una tendencia preocupante en la que actores maliciosos están re-registrando los dominios de proyectos cripto extintos, aprovechando reputaciones previamente establecidas para eludir los controles de seguridad y robar a los usuarios. Coinspect ha estado colaborando con plataformas DeFi y grupos de seguridad para identificar y reportar más de 100 de estas llamadas dapps zombi.
GMX pierde 42 millones de dólares en un ataque de re-entrancy y recupera los fondos tras ofrecer una recompensa white hat
El 9 de julio, el pool de liquidez GLP V1 de GMX en Arbitrum perdió $42 millones cuando un hacker utilizó un ataque de re-entrancy para acuñar tokens GLP en exceso, según el postmortem de la empresa. GMX detuvo inmediatamente las operaciones tras ser alertada por Hexegate sobre el exploit y pudo rastrear la actividad onchain, que mostraba que la mayoría de los fondos robados habían sido intercambiados por otros activos digitales. GMX ofreció una recompensa white hat del 10% con la promesa de no emprender acciones legales si los fondos eran devueltos en un plazo de 48 horas. Tras responder con el casual mensaje: "Ok, los fondos serán devueltos más tarde", el atacante retuvo aproximadamente 4,5 millones de dólares y entregó el resto a GMX.
El Servicio Secreto de EE. UU. recupera 400 millones de dólares en cripto en 10 años
El Centro Global de Operaciones de Investigación (GIOC) del Servicio Secreto se especializa en rastrear delitos financieros digitales y actualmente custodia la mayor parte de los criptoactivos recuperados en una de las cold wallets más grandes del mundo. Los investigadores del GIOC suelen utilizar herramientas de código abierto, análisis de blockchain e información de registro de dominios en sus investigaciones. El Servicio Secreto también ha proporcionado formación a fuerzas del orden y fiscales de otros 60 países.
Socket lanza un programa piloto para proteger las extensiones de Chrome de ataques a la cadena de suministro
Con el objetivo de proteger contra los ataques a la cadena de suministro causados por malware y permisos de riesgo en las extensiones de Chrome, Socket invita a los desarrolladores a probar su nueva línea de productos que utiliza análisis y escaneo en tiempo real. La herramienta fue diseñada para ser ligera y respetuosa con la privacidad, y también muestra métricas de riesgo en directorios de paquetes como NPM, PyPI, Go y Maven. Las señales de riesgo incluyen scripts ofuscados o de instalación, cadenas de alta entropía o sospechosas, nombres con typosquatting y APIs de riesgo. Hay planes para ampliar la cobertura más allá de Chrome en el futuro.
Código malicioso insertado en la extensión de código abierto forETHCode mediante un pull request fraudulento
Investigadores de seguridad de ReversingLabs descubrieron dos líneas de código malicioso que habían sido insertadas en un PR del kit de herramientas de código abierto forETHCode. Aunque las evidencias muestran que este código en particular no había sido utilizado para robar tokens ni datos (todavía), se asume que la intención era "robar criptoactivos almacenados en la máquina de la víctima" o "comprometer los contratos de Ethereum en desarrollo por parte de los usuarios de la extensión".
La noticia reforzó las preocupaciones sobre la tendencia de extensiones maliciosas y comprometidas, así como los ataques a la cadena de suministro.
Agencias de EE. UU. arrestan a operativos de Corea del Norte que ejecutaban robo de identidad en 16 estados y 100 empresas
A finales de junio, el Departamento de Justicia anunció que había liderado un esfuerzo coordinado que resultó en múltiples arrestos, acusaciones formales y la incautación de más de 200 laptops, 29 cuentas financieras y 21 sitios web fraudulentos. El DOJ detectó actividad maliciosa respaldada por Corea del Norte en 16 estados, que incluía robo de identidad y la infiltración de más de 100 empresas estadounidenses, incluyendo firmas cripto.
Una semana después, se informó que la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro sancionó a dos individuos vinculados al robo y la venta de dicha información para ser utilizada en estafas de empleo. Se sabe que los ingresos generados en estos esquemas contribuyen a financiar los programas de misiles balísticos de Corea del Norte.
Una estafa de inversión en el Reino Unido por 2 millones de dólares termina en una condena combinada de 12 años
Raymondip Bedi y Patrick Mavanga fueron acusados y condenados a un total de 12 años por vender servicios fraudulentos de consultoría cripto a al menos 65 personas entre 2017 y 2019. Según informó Crypto Times: "Ambos hombres admitieron múltiples cargos, entre ellos fraude, infracciones regulatorias y lavado de dinero. Además, Mavanga fue acusado de manipulación de pruebas y posesión de documentos de identidad falsos". La acusación, liderada por la Autoridad de Conducta Financiera (FCA) del Reino Unido, forma parte de un esfuerzo más amplio de la agencia para combatir los delitos cripto, y la FCA está intentando recuperar los fondos.
Grecia realiza su primera incautación de criptoactivos gracias a la colaboración de Chainalysis
La Autoridad Helénica Antilavado de Dinero (HAMLA) de Grecia ha realizado su primera incautación de fondos cripto. Trabajando en conjunto con Chainalysis y Performance Technologies, HAMLA rastreó y congeló parte de los activos robados del hackeo al exchange Bybit por 1.500 millones de dólares. Este esfuerzo de recuperación a nivel mundial fue posible gracias a "la potencia de combinar herramientas de análisis de blockchain de vanguardia con formación especializada y cooperación internacional para combatir el crimen cripto global". Por si no lo sabías, Bybit sufrió pérdidas de 1.500 millones de dólares durante un hackeo ocurrido a principios de este año, presuntamente llevado a cabo por el Grupo Lazarus de Corea del Norte.
Descubiertas más de 40 extensiones maliciosas de Firefox que suplantan wallets cripto
Qué ocurrió
Yuval Ronen de Koi Security compartió el descubrimiento de más de 40 extensiones maliciosas de Firefox vinculadas a una única campaña que suplanta wallets cripto, incluyendo MetaMask. La amenaza, que comenzó en abril de 2025, sigue activa y se utiliza para extraer credenciales de "sitios web objetivo y exfiltrarlas a un servidor remoto controlado por el atacante", así como para transmitir direcciones IP externas. Estas extensiones falsas parecen legítimas y utilizan reseñas positivas de mala fe para engañar a los usuarios. Las evidencias apuntan a un perpetrador de habla rusa.
Cómo pueden protegerse los usuarios
Junto con su informe, Ronen también compartió sus recomendaciones para mantenerse seguro:
Instala extensiones únicamente de editores verificados y sé precavido incluso con los listados mejor valorados.
Trata las extensiones del navegador como activos de software completos: sujetos a verificación, monitoreo y aplicación de políticas.
Usa una lista de extensiones permitidas y restringe la instalación únicamente a extensiones preaprobadas y validadas. 4. Implementa un monitoreo continuo, no solo escaneos puntuales. Las extensiones pueden actualizarse automáticamente y cambiar su comportamiento de forma silenciosa tras la instalación.
La ingeniería social apunta a jugadores y gamers a través de sitios falsos de casinos cripto
Qué ocurrió
Las redes sociales siguen siendo un caldo de cultivo para la ingeniería social orientada a robar cripto. Krebs on Security explicó cómo sitios de "estafbling" con apariencia legítima atraen a usuarios con anuncios que ofrecen créditos gratuitos y falsos respaldos de celebridades, como Mr. Beast. Los usuarios deben crear cuentas para reclamar sus "créditos" y luego pueden interactuar con juegos muy elaborados y realizar apuestas. Sin embargo, estos esquemas de "estafbling" comparten características con las clásicas estafas de pig butchering. El usuario nunca puede retirar sus ganancias y, en cambio, se le indica que realice "depósitos de verificación" adicionales o que consulte con "expertos en recuperación".
Cómo pueden protegerse los usuarios
Desconfía de los sitios de juego que requieren depósitos para recuperar créditos, y especialmente de aquellos que exigen depósitos para retirar fondos. Recuerda que la gran mayoría de los servicios de recuperación cripto son fraudulentos, y los servicios legítimos suelen tener umbrales mínimos elevados que ascienden a decenas de miles de dólares. Cualquier promoción que involucre influencers debe validarse consultando canales verificados.
La campaña BabyShark de Corea del Norte despliega el backdoor NimDoor para macOS mediante tácticas de phishing ClickFix
Qué ocurrió
Según informó por primera vez SentinelOne, en un método novedoso de ataque a empresas web3, actores norcoreanos están utilizando un nuevo backdoor para macOS basado en Nim llamado NimDoor para robar credenciales y exfiltrar datos a través de WebSockets cifrados. El malware también utiliza AppleScript e inyección de procesos.
Como parte de la operación BabyShark más amplia, los atacantes están empleando tácticas de phishing estilo ClickFix, en las que se engaña a los objetivos de forma urgente para que hagan clic en enlaces peligrosos disfrazados de benignos. Estas actividades han sido vinculadas al grupo de amenaza persistente avanzada Kimsuky.
Cómo pueden protegerse los usuarios
Siempre detente y evalúa la situación antes de dejarte presionar para tomar acciones urgentes, y verifica la fuente de la información. Desconfía de descargar archivos como parte de cualquier proceso de entrevista. Desactiva la ejecución remota de AppleScript, mantén todos los sistemas y software actualizados (por ejemplo, navegadores, extensiones y runtimes de scripting). Mantente alerta ante conexiones WebSocket a dominios desconocidos, inyecciones de procesos inusuales o scripts que se ejecutan al iniciar aplicaciones, y persistencia mediante launch agents o signal handlers si usas macOS.
No te dejes hackear doo doo doo doo doo doo…
El Informe de Seguridad Cripto de MetaMask de julio de 2025 cubrió más de 40 extensiones falsas de Firefox que suplantan wallets cripto, el hackeo de re-entrancy de 42 millones de dólares de GMX resuelto mediante una recompensa white hat, y las apps zombi que reviven los dominios de proyectos cripto extintos. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
