Usuarios de Solana sufren ataques de paquetes NPM maliciosos, la llave privada fue robada causando pérdidas de activos

A principios de julio de 2025, se reveló un incidente de ataque malicioso dirigido a usuarios de Solana. Los atacantes publicaron un proyecto de código abierto en GitHub que contenía un paquete NPM malicioso, lo que les permitió robar las llaves privadas de las carteras de los usuarios, resultando en el robo de activos criptográficos.

El desencadenante del evento fue que un usuario, tras utilizar un proyecto de GitHub llamado "solana-pumpfun-bot", descubrió que sus activos habían sido robados. El equipo de seguridad inmediatamente inició una investigación y encontró múltiples aspectos sospechosos en dicho proyecto:

1. El registro de actualizaciones del proyecto es anómalo, todas las contribuciones de código se completaron en un corto período de tiempo.
2. En las dependencias del proyecto se incluye un paquete de terceros sospechoso llamado "crypto-layout-utils".
3. Este paquete sospechoso ha sido eliminado oficialmente por NPM, y el número de versión no existe en los registros oficiales.

Un análisis más detallado reveló que los atacantes modificaron el archivo package-lock.json para redirigir el enlace de descarga de un paquete sospechoso a un archivo comprimido en un repositorio de GitHub. Este archivo comprimido contiene código malicioso altamente ofuscado, cuya función principal es escanear archivos sensibles en la computadora del usuario, buscando información relacionada con la llave privada de la billetera, y subirla a un servidor controlado por los atacantes.

Los atacantes también utilizaron una serie de medios para aumentar la credibilidad del proyecto:

1. Controlar múltiples cuentas de GitHub para Forkear y dar Star a proyectos, aumentando artificialmente la popularidad del proyecto.
2. Utilizar múltiples paquetes maliciosos similares, como "bs58-encrypt-utils".
3. Después de que NPM eliminara los paquetes sospechosos, se continuó propagando utilizando enlaces de descarga alternativos.

Este tipo de ataque combina ingeniería social y técnicas, lo que lo hace muy engañoso y dañino. Para prevenir ataques similares, se recomienda a los desarrolladores y usuarios:

1. Mantener una alta vigilancia sobre los proyectos de GitHub de origen desconocido, especialmente aquellos que involucran operaciones con billeteras o Llave privada.
2. Ejecutar y depurar código desconocido en un entorno independiente y sin datos sensibles.
3. Revisar periódicamente las dependencias del proyecto para asegurar el uso de versiones reconocidas oficialmente.
4. Aumentar la conciencia de seguridad, no confiar fácilmente en proyectos con alta cantidad de Star y Fork.

Este incidente nos recuerda una vez más que, en el mundo descentralizado y de código abierto, la conciencia de seguridad personal y las prácticas básicas de seguridad son fundamentales. Los atacantes actualizan constantemente sus métodos, y los usuarios también deben mantenerse al día y estar alerta para garantizar la seguridad de sus activos.