Cada mes, el Director de Seguridad de MetaMask, Luker, informa sobre los últimos ataques cripto y los riesgos emergentes que debes conocer.
En septiembre de 2025, vimos una vez más cómo ataques aparentemente pequeños pueden tener un efecto en cascada que impacta a una escala exponencialmente mayor. Un solo mantenedor víctima de phishing fue suficiente para contaminar 18 paquetes npm que acumulan 2 mil millones de descargas a la semana. Los estafadores contrataron actores de voz profesionales para suplantar mediante deepfake a ejecutivos cripto por teléfono. Y una nueva y sigilosa cepa de malware eludió los antivirus durante casi un mes mientras vaciaba wallets de navegador. También hubo buenas noticias. Gracias al sandboxing de LavaMoat, el ataque a npm fue neutralizado silenciosamente para los usuarios de MetaMask. Además, la Ethereum Foundation avanzó en la seguridad de la red a escala de billones de dólares. Conoce todos los detalles a continuación, pero primero...
Pionera STEM destacada: Ellen Ochoa, primera astronauta latina y directora del Johnson Space Center
Ellen Ochoa fue la primera latina en viajar al espacio, sirviendo a bordo del transbordador espacial Discovery, y posteriormente se convirtió en la primera directora latina del Johnson Space Center de la NASA. Liderar sistemas complejos y de alto riesgo donde un pequeño fallo puede tener consecuencias enormes es una disciplina que la seguridad cripto conoce bien.
El inicio de sesión social de MetaMask simplifica la recuperación de wallets con credenciales de Apple y Google
Gestionar las Frases de Recuperación Secreta (SRP) y mantenerlas seguras ha sido durante mucho tiempo uno de los aspectos más complicados de la autocustodia. Si pierdes tus claves, pierdes tus criptomonedas. MetaMask ahora hace más fácil que nunca crear, hacer copia de seguridad o restaurar wallets utilizando credenciales de cuentas de Apple o Google combinadas con una contraseña segura.
Para mayor seguridad, las SRP están cifradas y fragmentadas, con una clave de cifrado adicional que se divide entre diferentes ubicaciones. Solo el propietario de la wallet puede reconstruir la SRP en texto plano, por lo que es imprescindible que proteja la contraseña con el mismo cuidado con el que protegería una SRP. Lee más sobre esta nueva función en nuestra página de soporte de MetaMask.
Un ataque a la cadena de suministro de NPM compromete 18 paquetes JavaScript con 2 mil millones de descargas semanales
A principios de septiembre, presenciamos uno de los mayores ataques a la cadena de suministro hasta la fecha, que comprometió al menos 18 populares paquetes JavaScript de NPM después de que un mantenedor conocido como Qix cayera víctima de una campaña de phishing. Uno o más actores maliciosos lograron inyectar código y publicar versiones maliciosas de los paquetes, que se descargan más de 2 mil millones de veces por semana, lo que les permitió manipular las interacciones con wallets cripto y redirigir fondos durante varias horas antes de que el ataque fuera neutralizado.
Posteriormente se descubrió que el malware inyectado se comportaba como un gusano, capaz de propagarse automáticamente a otros proyectos gestionados por Qix. Aunque las pérdidas podrían haber sido catastróficas, solo se robaron unos pocos cientos de dólares antes de que se eliminaran las versiones maliciosas. El incidente puso de manifiesto lo perjudicial que puede ser un único punto de fallo en el ecosistema de código abierto.
El sandboxing de LavaMoat protege a los usuarios de MetaMask del malware en la cadena de suministro
Por suerte, LavaMoat de MetaMask protege contra estos ataques generalizados a la cadena de suministro aplicando controles en tiempo de ejecución sobre las dependencias que restringen cómo pueden interactuar con sus entornos, un proceso conocido como sandboxing. Incluso si se instala un paquete malicioso, LavaMoat le impide extraer secretos, manipular las APIs de la wallet o realizar actividad de red no autorizada. Como dice Zbyszek Tenerowicz de MetaMask: "Tú también puedes ejecutar malware de NPM... es decir, sin consecuencias."
Vitalik Buterin advierte contra la gobernanza centralizada de IA y propone una auditoría abierta
El ingeniero de software Eito Miyamura señaló riesgos para los datos personales de los usuarios tras la última actualización de ChatGPT de OpenAI, lo que llevó a Vitalik Buterin a unirse al debate. Buterin descartó la dependencia de la IA centralizada como solución viable de gobernanza, señalando que los atacantes "PONDRÁN un jailbreak más 'dame todo el dinero' en tantos lugares como puedan" si se confía a la IA roles sensibles como la distribución de fondos.
En su lugar, Buterin propuso un modelo de "info finance" en el que los sistemas de IA estén abiertos a auditorías de terceros y verificaciones aleatorias por parte de jurados humanos. Este enfoque se alinea con el espíritu de la descentralización, que valora la transparencia y la comunidad como un camino más seguro hacia el futuro. La perspectiva del cofundador de Ethereum subraya el creciente debate sobre cómo equilibrar mejor la innovación, la seguridad y la responsabilidad en la IA.
Ataques de vishing personalizados apuntan a ejecutivos cripto en EE. UU. mediante suplantadores con deepfake de voz
En sus últimos esfuerzos por atacar a ejecutivos del sector cripto en EE. UU., los estafadores están pagando hasta 20.000 dólares al mes para utilizar suplantadores de voz profesionales en elaborados ataques de vishing (phishing por voz). Investigadores de GK8 descubrieron que los equipos de suplantadores están siendo reclutados a través de foros clandestinos y respaldados por conjuntos de datos curados, tecnología deepfake e infraestructura elaborada diseñada para eludir los controles de seguridad.
Estos ataques telefónicos son altamente personalizados y están dirigidos a personas con acceso privilegiado, lo que refleja un cambio del phishing masivo a la ingeniería social de precisión. La investigadora de GK8 Tanya Bekker advierte que los ejecutivos deben "asumir que su información personal ya ha sido expuesta" y señala que "las transacciones de alto valor no deben ser confirmadas por una sola persona."
Kiln retira validadores de Ethereum tras la pérdida de 40 millones de dólares de SwissBorg en una brecha de API
La plataforma de staking Kiln anunció que, por precaución, retiraría todos sus validadores de Ethereum después de que su socio SwissBorg se viera afectado por una brecha de seguridad en su API. El investigador de blockchain ZachXBT informó que SwissBorg perdió aproximadamente 40 millones de dólares en SOL. Kiln subrayó que los fondos de sus usuarios estaban seguros y que ningún otro activo de Ethereum se vio afectado, indicando que la medida es preventiva.
En el momento en que se anunció la decisión, Kiln estimó que el proceso tardaría entre 10 y 42 días por validador, con retiros que requerirían 9 días adicionales. Mientras tanto, más de 2,5 millones de ETH quedaron acumulados en la cola de salida de validadores de la red, provocando tiempos de espera excesivos.
La Ethereum Foundation lanza la iniciativa Trillion Dollar Security
Por si te lo perdiste, a finales de agosto la Ethereum Foundation presentó un esfuerzo para reforzar la seguridad de la red a través de lo que denomina la iniciativa "Trillion Dollar Security". El objetivo declarado del programa es crear una realidad en la que miles de millones de usuarios se sientan cómodos manteniendo al menos 1.000 dólares onchain, mientras que instituciones y gobiernos puedan gestionar con tranquilidad activos a escala de billones de dólares dentro de las aplicaciones de Ethereum. El plan se articula en tres fases que incluyen el mapeo de vulnerabilidades en todo el ecosistema, la implementación de correcciones y mejoras con socios, y el establecimiento de estándares de seguridad claros.
El programa contará con el apoyo de samczsun, fundador de Security Alliance; Mehdi Zerouali, cofundador y director de Sigma Prime; y Zach Obront, cofundador de Etherealize. Además, la EF hace un llamado al ecosistema para recibir aportaciones sobre dónde necesita mejorar la seguridad de Ethereum.
Concurso de auditoría de la actualización Fusaka por 2 millones de dólares, patrocinado por Gnosis y Lido
Pocas semanas después, la EF anunció el lanzamiento de un concurso de 2 millones de dólares en el que se invita a investigadores a auditar la próxima actualización Fusaka. El concurso se desarrolla del 15 de septiembre al 13 de octubre en la testnet de Sherlock y cuenta con el copatrocinio de Gnosis y Lido, que contribuyeron con 100.000 y 25.000 dólares respectivamente. Este enfoque pone de relieve el interés colectivo del ecosistema descentralizado en el futuro de la red.
El malware ModStealer evade los antivirus durante un mes mientras vacía wallets cripto de navegador
Qué ocurrió
Investigadores de seguridad encontraron una nueva cepa de malware llamada ModStealer que logró eludir el software antivirus durante casi un mes mientras robaba datos de wallets cripto de usuarios de Windows, Linux y Mac. Los atacantes la están distribuyendo a través de falsas ofertas de empleo dirigidas a desarrolladores. Una vez en el sistema, busca extensiones de wallet en el navegador y credenciales antes de enviar todo silenciosamente a sus servidores. En Mac, incluso se configura para ejecutarse automáticamente al inicio haciéndose pasar por un proceso auxiliar del sistema. Los expertos en seguridad advierten que esto es una mala noticia para los titulares de criptomonedas, ya que las claves privadas y frases semilla robadas significan acceso directo a los fondos de las personas, y el hecho de que pueda eludir las herramientas de detección lo convierte en una amenaza real para todo el espacio cripto.
Cómo pueden protegerse los usuarios
Las mejores prácticas incluyen una vigilancia constante sobre los sitios que visitas, especialmente cuando buscas cosas como ofertas de empleo o contenido relacionado con criptomonedas. Consulta siempre fuentes de confianza para verificar la autenticidad. Las ofertas no solicitadas de cualquier tipo deben tratarse con la máxima precaución y, probablemente, ignorarse por completo. Además, mantener opciones de almacenamiento en frío para tus activos cripto más importantes, como una hardware wallet, es una de las mejores formas de mantener tus fondos seguros.
Campaña de cryptojacking basada en TOR apunta a APIs de Docker mal configuradas para instalar mineros XMRig
Qué ocurrió
Una campaña de cryptojacking está apuntando a APIs de Docker mal configuradas para instalar mineros de criptomonedas XMRig, con atacantes que utilizan la red TOR para ocultar sus rastros. El malware se propaga escaneando otras instancias de Docker expuestas y contiene código dormido para atacar puertos de depuración remota de Telnet y Chrome, lo que sugiere que los atacantes podrían estar construyendo una operación de botnet de mayor envergadura.
Cómo pueden protegerse los usuarios
Los investigadores subrayan que las organizaciones deben restringir el acceso a las APIs, segmentar correctamente sus redes y cambiar las credenciales predeterminadas para protegerse contra estos ataques.
Los hackeos cripto aumentan un 13% en agosto con 173 millones de dólares robados, el phishing representa 101 millones
Qué ocurrió
Los hackeos cripto aumentaron más de un 13% de julio a agosto según CertiK, con ladrones que se llevaron alrededor de 173 millones de dólares. Las estafas de phishing por sí solas representaron 101 millones de ese total. Los peores golpes del mes incluyeron un masivo ataque de phishing de 91 millones de dólares y un hackeo de 53 millones a BTC Turk.
Es parte de una tendencia que hemos observado desde junio, y los expertos predicen que las pérdidas seguirán aumentando cada mes. A pesar de la evolución de las defensas, estas estafas básicas de phishing siguen siendo increíblemente efectivas. Un CEO señaló que los grupos del crimen organizado se han convertido esencialmente en "startups tecnológicas" que operan con estafas como servicio.
Cómo pueden protegerse los usuarios
Los ataques de ingeniería social son particularmente efectivos porque el factor humano presenta la superficie de ataque más difícil de defender. Verifica siempre con quién estás hablando y desconfía de cualquier tipo de comunicación no solicitada. Nunca hagas clic en un enlace aleatorio en un correo electrónico o mensaje de texto. Si tienes la más mínima sospecha de que no estás hablando con quien crees, busca la manera de contactar directamente a esa persona por otro medio, como una llamada telefónica a su lugar de trabajo o verificando su identidad a través de otro método seguro.
El Informe de Seguridad Cripto de MetaMask de septiembre de 2025 cubrió un importante ataque a la cadena de suministro de npm que comprometió 18 paquetes, ataques de vishing personalizados dirigidos a ejecutivos cripto, un aumento en los hackeos cripto en agosto de 2025 —con 173 millones de dólares robados y 101 millones obtenidos mediante phishing— y la iniciativa Trillion Dollar Security de la Ethereum Foundation. Consulta ediciones anteriores del informe de seguridad cripto de MetaMask para conocer más amenazas, tendencias y consejos para mantenerte seguro en todo el ecosistema.
