Cada mes, el director de seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
Junio de 2025 fue un mes de gran escala tanto en ataques como en desmantelamiento de estafas. Interpol desmanteló 20.000 IPs maliciosas y arrestó a 32 personas en una campaña global de infostealers. El Departamento de Justicia de EE. UU. anunció su mayor recuperación de fondos por pig butchering hasta la fecha: 225 millones de dólares. Pero el Grupo Lazarus igualó la intensidad, lavando miles de millones en criptomonedas robadas a través de la infraestructura de bajas comisiones de Tron, hackeando el exchange taiwanés BitoPro por 11 millones de dólares y continuando su infiltración en empresas estadounidenses mediante identidades falsas de trabajadores de TI. Más cerca de casa, Taylor Monahan, del equipo de seguridad de MetaMask, explicó por qué los exploits de EIP-7702 son un problema de clave privada, no un problema de Pectra. Además, nuestra empresa matriz, Consensys, adquirió Web3Auth para simplificar la recuperación de wallets y seguir reforzando la seguridad líder de MetaMask. Descubre todos los detalles a continuación, pero primero...
Pionera STEM destacada: Nergis Mavalvala y la detección de ondas gravitacionales
Nergis Mavalvala contribuyó a la detección de ondas gravitacionales en el proyecto LIGO y a la experimentación en ciencia de medición cuántica.
Consensys adquiere Web3Auth para simplificar la recuperación de wallets y la gestión de claves en MetaMask
En estos informes hablamos mucho de ataques maliciosos, pero ¿sabías que el 35% de los usuarios no realiza una copia de seguridad adecuada de su Frase de Recuperación Secreta, lo que los expone al riesgo de perder sus fondos? Como lo expresó el cofundador de MetaMask, Dan Finlay: "No la compartas con nadie, pero tampoco la pierdas es un equilibrio muy difícil de mantener."
Por eso nos complace anunciar que la empresa matriz de MetaMask, Consensys, ha adquirido Web3Auth, proveedor líder de infraestructura de gestión de claves y wallets integradas. Al integrar las capacidades de Web3Auth, los usuarios de MetaMask podrán crear y recuperar wallets utilizando métodos de autenticación familiares del entorno web2, como inicios de sesión con redes sociales y autenticación basada en dispositivos. La adquisición también ofrece a los desarrolladores acceso a SDKs de wallets integradas e infraestructura de gestión de claves, haciendo que la administración de wallets sea más sencilla y eficiente.
Actualizaciones de LavaMoat: el plugin de Webpack llega a la versión 1.0 y React Native lockdown tiene su primer lanzamiento
@lavamoat/webpack llega a la versión 1.0
Tras una auditoría realizada por OtterSec, la habilitación de chunks cargados dinámicamente y una refactorización orientada a la mantenibilidad, nuestro plugin de Webpack ha alcanzado la versión 1.0 y se considera estable y listo para usar. Los próximos pasos incluyen planes para mejoras de seguridad opcionales.
La reescritura de @lavamoat/node añade soporte completo para ESM
No solo hemos logrado que lockdown() de Hardened JavaScript funcione dentro de las limitaciones del motor Hermes en React Native, sino que también encontramos la manera de entregárselo a los desarrolladores en un paquete ordenado que se integra a través del archivo de configuración de Metro. Hemos lanzado una versión muy temprana y estamos buscando resultados de pruebas y comentarios. Pruébalo y comparte tu experiencia.
En caso de que te lo hayas perdido, también tenemos otros proyectos en marcha:
@lavamoat/node
Aunque todavía está en desarrollo, nuestra reescritura completa de LavaMoat para Node.js ya es funcional. Introduce soporte completo para ESM y mejoras de experiencia de desarrollo (DX) para quienes ejecutan comandos desde paquetes npm. lavamoat-node sigue siendo compatible y estable, aunque eventualmente quedará obsoleto por la falta de soporte para ESM.
A medida que desarrollamos nuevas capacidades, algunas se están integrando en lavamoat-node. Ahora puedes obtener un control de acceso más preciso sobre las variables globales marcadas como modificables en otros lugares. Las mejoras en el orden de los archivos de política han llegado a todas las herramientas de LavaMoat, permitiendo generar archivos policy.json. El git diff ha sido optimizado para indicar únicamente los cambios reales y minimizar la reordenación de los recursos listados cuando tu árbol de dependencias se reorganiza tras una actualización.
@lavamoat/git-safe-dependencies valida la seguridad de los paquetes obtenidos desde git
Hemos lanzado una nueva herramienta que actúa como un validador con criterios definidos para prevenir problemas de seguridad al instalar dependencias (o GitHub Actions) directamente desde repositorios git. Su lanzamiento fue seguido de un artículo en el número 6 de la revista PagedOut!.
Cryptonews clasifica a MetaMask como una wallet de primer nivel tras una evaluación independiente
Cryptonews examinó recientemente qué tan segura es la wallet de MetaMask, y agradecemos su valoración de que "con más de 30 millones de usuarios activos y un historial de ocho años," MetaMask ha consolidado su reputación como "una opción muy segura con numerosas funciones de seguridad y un equipo de desarrollo activo comprometido con mejorar su nivel de seguridad." El artículo destaca nuestras funciones de seguridad y ofrece consejos sobre las mejores prácticas de autocustodia. ¡Gracias, Cryptonews!
Taylor Monahan sobre los exploits de EIP-7702: el problema es la seguridad de la clave privada, no Pectra
La reciente actualización Pectra de Ethereum introdujo EIP-7702, con el objetivo de mejorar la experiencia del usuario al permitir que las wallets funcionen temporalmente como contratos inteligentes. Sin embargo, esta función ha sido explotada por actores maliciosos. El análisis de Wintermute reveló que más del 80% de las delegaciones de EIP-7702 estaban vinculadas a un único script malicioso denominado "CrimeEnjoyor," diseñado para vaciar automáticamente wallets con claves comprometidas. Un incidente destacado involucró a un usuario que perdió casi 150.000 dólares a través de un ataque de phishing facilitado por este script.
Taylor Monahan, del equipo de seguridad de MetaMask, subrayó que el problema central no es EIP-7702 en sí, sino el desafío persistente de que los usuarios protejan sus claves privadas. Señaló que, si bien EIP-7702 ofrece funcionalidades avanzadas, también proporciona a los atacantes medios más eficientes para explotar claves comprometidas. Esta situación pone de relieve la importancia de una gestión robusta de las claves privadas y una mayor vigilancia por parte de los usuarios en el ecosistema Ethereum en constante evolución.
Actores de amenazas de Corea del Norte se infiltran en empresas estadounidenses, hackean BitoPro por 11 millones de dólares y lavan miles de millones a través de Tron
En tres historias relacionadas publicadas en junio, podemos ver que las amenazas persistentes avanzadas provenientes de Corea del Norte no muestran señales de desaceleración.
El Departamento de Justicia de EE. UU. busca la confiscación de 7,7 millones de dólares en criptomonedas vinculados a hackers norcoreanos que se hicieron pasar por trabajadores de TI para infiltrarse en empresas estadounidenses. Estos individuos usaron identidades falsas para conseguir empleos remotos, recibieron pagos en stablecoins y lavaron los fondos a través de diversos métodos antes de transferirlos al gobierno norcoreano. Los expertos advierten que este tipo de operaciones, que suelen emplear personas generadas por IA y tecnología deepfake, podrían generar cientos de millones anuales para el régimen.
BitoPro, un exchange de criptomonedas taiwanés, perdió 11 millones de dólares en un hackeo ocurrido el 8 de mayo de 2025, durante una actualización del sistema de hot wallet. El ataque se atribuye al Grupo Lazarus de Corea del Norte, que utilizó malware y tokens de AWS robados para eludir la seguridad y vaciar fondos en múltiples blockchains. Las criptomonedas robadas fueron posteriormente lavadas a través de mixers y exchanges descentralizados. BitoPro ha restaurado las wallets y confirmó que no hubo participación interna.
El Grupo Lazarus de Corea del Norte ha estado lavando miles de millones en criptomonedas robadas a través de plataformas de finanzas descentralizadas, utilizando en particular la infraestructura de bajas comisiones de la blockchain de Tron. Según el analista on-chain ZachXBT, el grupo opera dentro de una red clandestina de brokers que utilizan pools de intercambio, nuevas wallets y métodos de trading peer-to-peer, dificultando el rastreo de los estimados 5.000 a 10.000 millones de dólares en fondos ilícitos.
Los críticos señalan que plataformas como Tron carecen de controles significativos, lo que permite este tipo de operaciones de lavado a gran escala. Si bien TRON DAO afirma apoyar los esfuerzos contra el crimen en colaboración con entidades como Tether y TRM Labs, muchos argumentan que estas medidas son reactivas e insuficientes. ZachXBT enfatiza que la industria cripto en general está experimentando un "superciclo del crimen," con hackeos masivos y una rendición de cuentas mínima.
Interpol desmantela 20.000 IPs maliciosas y arresta a 32 personas en una operación global contra infostealers
La "Operación Secure" de Interpol ha desmantelado con éxito más de 20.000 direcciones IP y dominios maliciosos vinculados a malware de tipo infostealer. Este esfuerzo coordinado, que involucró a agencias de aplicación de la ley de 26 países y socios del sector privado como Group-IB, Kaspersky y Trend Micro, resultó en la incautación de 41 servidores y el arresto de 32 personas relacionadas con actividades cibercriminales. Los infostealers son software malicioso diseñado para extraer datos sensibles como contraseñas, datos de tarjetas de crédito e información de wallets de criptomonedas de los dispositivos infectados. La operación también resultó en la notificación a más de 216.000 víctimas y posibles víctimas, permitiéndoles tomar medidas de protección inmediatas.
EE. UU. recupera 225 millones de dólares en la mayor confiscación por pig butchering de la historia
El Departamento de Justicia de EE. UU. ha anunciado su mayor recuperación de fondos vinculados a estafas de inversión en criptomonedas conocidas como "pig butchering," donde las víctimas son manipuladas durante un período prolongado para extraerles el máximo valor posible. El gobierno trabaja ahora para devolver la mayor cantidad posible de los fondos confiscados a las más de 400 víctimas.
Ataque a la cadena de suministro de CoinMarketCap vacía 43.000 dólares mediante código malicioso inyectado
Qué ocurrió
El sitio de seguimiento de precios de criptomonedas CoinMarketCap fue víctima de un ataque a la cadena de suministro que expuso a los visitantes a una campaña de vaciado de wallets. Los hackers explotaron una vulnerabilidad en la imagen doodle de la página de inicio del sitio para inyectar JavaScript malicioso, lo que desencadenó ventanas emergentes falsas de conexión de wallets Web3. Los usuarios desprevenidos que conectaron sus wallets vieron sus criptomonedas vaciadas, con más de 43.000 dólares robados a 110 víctimas. Este ataque pone de relieve la creciente amenaza de los wallet drainers, que explotan elementos de confianza de las plataformas para atacar a usuarios de criptomonedas. Aunque el código malicioso fue eliminado rápidamente, CMC indica que la investigación continúa en curso.
Cómo pueden protegerse los usuarios
Para protegerte de los ataques de vaciado de wallets, verifica siempre la legitimidad de las ventanas emergentes de Web3 antes de conectar tu wallet. Evita hacer clic en enlaces sospechosos o interactuar con ventanas emergentes en sitios desconocidos, y considera usar hardware wallets para tus activos cripto más importantes. Afortunadamente, la pérdida total de este incidente se mitigó en parte gracias a las rápidas respuestas de seguridad de los profesionales del sector y los simuladores de transacciones que alertaron a muchas posibles víctimas antes de que perdieran sus fondos.
CoinTelegraph comprometido con una ventana emergente de airdrop falso que promocionaba tokens CTG inexistentes
Qué ocurrió
El sitio web de CoinTelegraph fue comprometido mediante un exploit de front-end que mostraba una ventana emergente de airdrop falso promocionando tokens CTG inexistentes. La ventana emergente afirmaba falsamente que los usuarios podían recibir 5.500 dólares conectando sus wallets y citaba una auditoría falsa de CertiK para parecer legítima.
El medio de noticias blockchain actuó con rapidez para advertir a los usuarios que no interactuaran con estas ventanas emergentes y eliminar el código no autorizado. La publicación ha declarado posteriormente haber "reforzado [sus] controles de seguridad para prevenir cualquier incidente similar en el futuro."
Cómo pueden protegerse los usuarios
Los usuarios deben ser cautelosos ante ventanas emergentes u ofertas inesperadas, especialmente aquellas que prometen grandes recompensas económicas a cambio de conectar una wallet. Antes de interactuar con este tipo de solicitudes, los usuarios deben verificar la legitimidad de la información a través de fuentes oficiales. Como precaución adicional, los usuarios deben comparar los mensajes con las redes sociales verificadas de la organización, su sitio web y otras actividades de comunicación de confianza.
El formulario de soporte de Trezor explotado para enviar correos de phishing dirigidos a copias de seguridad de wallets
Qué ocurrió
El fabricante de hardware wallets Trezor emitió una alerta de seguridad después de que atacantes abusaran de su formulario de contacto de soporte en línea para enviar correos electrónicos de phishing disfrazados de respuestas legítimas de soporte. Estos correos fraudulentos tenían como objetivo engañar a los usuarios para que compartieran sus copias de seguridad de wallets, las cuales deben permanecer siempre privadas y sin conexión a internet. Trezor confirmó que no se produjo ninguna brecha en sus sistemas ni en los datos de los usuarios, y que la campaña de phishing ha sido contenida. La empresa subrayó la importancia de la vigilancia y ha iniciado una investigación para prevenir futuros abusos.
Cómo pueden protegerse los usuarios
Para evitar las estafas de phishing, nunca compartas tu copia de seguridad de wallet ni tus claves privadas, aunque la solicitud parezca legítima. Verifica siempre la autenticidad de las comunicaciones. Sé cauteloso con los correos electrónicos no solicitados, especialmente aquellos que piden información sensible, y evita hacer clic en enlaces o descargar archivos adjuntos de fuentes desconocidas.
SparkKitty y Crocodilus: malware móvil que roba seed phrases de criptomonedas y credenciales bancarias
Qué ocurrió
SparkKitty se infiltra en dispositivos iOS y Android a través de aplicaciones maliciosas encontradas en tiendas de aplicaciones oficiales, así como mediante apps instaladas fuera de las tiendas oficiales (sideloaded), como clones falsos de TikTok y plataformas de juegos de azar. Una vez instalado, SparkKitty solicita acceso a la galería de fotos del dispositivo y emplea reconocimiento óptico de caracteres para escanear imágenes en busca de información sensible, en particular seed phrases de wallets de criptomonedas. Al encontrar dichos datos, transmite la información a los atacantes, comprometiendo los activos digitales de los usuarios.
Crocodilus es un troyano bancario para Android recientemente identificado que representa una amenaza significativa para los usuarios a nivel global. El malware se disfraza de aplicaciones legítimas, como Google Chrome, para engañar a los usuarios. Una vez instalado, solicita permisos de accesibilidad, lo que le permite realizar acciones como capturar el contenido de la pantalla, registrar pulsaciones de teclas y superponer pantallas de inicio de sesión falsas para recopilar credenciales. Se dirige específicamente a aplicaciones bancarias y de criptomonedas, con el objetivo de extraer información sensible y vaciar las cuentas de los usuarios.
Cómo pueden protegerse los usuarios
Descarga aplicaciones únicamente de fuentes de confianza y sé cauteloso con aquellas que soliciten acceso a fotos, contenido de pantalla o funciones de accesibilidad. Evita almacenar información sensible como las frases de recuperación secretas en tu galería de fotos y utiliza en su lugar métodos de almacenamiento seguros, como hardware wallets o gestores de contraseñas cifrados. Mantén tu dispositivo y aplicaciones actualizados para corregir vulnerabilidades, y considera usar software de seguridad móvil de confianza para detectar y bloquear malware. Mantenerse informado sobre las amenazas emergentes y practicar una buena higiene digital puede contribuir en gran medida a mantener seguros tus criptomonedas y datos personales.
El Informe de Seguridad Cripto de MetaMask de junio de 2025 cubrió las operaciones de agentes de Corea del Norte lavando miles de millones a través de Tron, el desmantelamiento por parte de Interpol de 20.000 IPs maliciosas vinculadas a infostealers, y el malware móvil dirigido a seed phrases de criptomonedas en iOS y Android. Consulta ediciones anteriores del Informe de Seguridad Cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
