Los atacantes secuestran la cuenta de un mantenedor de npm, roban claves cripto
- Los atacantes secuestraron una cuenta inactiva de un mantenedor de npm e impusieron tres versiones maliciosas de node-ipc para robar credenciales.
- El atacante volvió a registrar el dominio de correo electrónico expirado del mantenedor y utilizó el flujo de restablecimiento de contraseña de npm para obtener acceso de publicación.
- Cualquier desarrollador o proyecto de cripto que instalara o actualizara automáticamente node-ipc durante ese periodo debe auditar sus dependencias y rotar inmediatamente todos los secretos expuestos.
Tres versiones envenenadas de node-ipc salieron a la luz en el registro npm el 14 de mayo, según SlowMist. Los atacantes secuestraron una cuenta de mantenedor inactiva y enviaron código diseñado para sustraer credenciales de desarrolladores, claves privadas, secretos de API de exchanges, etc., directamente desde los archivos .env.
node-ipc es un paquete popular de Node.js que permite que diferentes programas se comuniquen entre sí en la misma máquina, o a veces a través de una red.
SlowMist detecta la brecha
La firma de seguridad blockchain, SlowMist, detectó la brecha a través de su sistema de inteligencia de amenazas MistEye.
Versiones 9.1.6, 9.2.3 y 12.0.1
MistEye encontró tres versiones maliciosas que incluían:
- Versión 9.1.6.
- Versión 9.2.3.
- Versión 12.0.1.
Todas las versiones anteriores llevaban la misma carga útil ofuscada de 80 KB.
Node-ipc maneja la comunicación entre procesos en Node.js. Básicamente ayuda a los programas de Node.js a enviar mensajes de ida y vuelta. Más de 822.000 personas lo descargan cada semana.
Node-ipc se utiliza en todo el espacio cripto. Se utiliza en las herramientas que los desarrolladores usan para construir dApps, en los sistemas que prueban y despliegan código automáticamente (CI/CD) y en las herramientas diarias de los desarrolladores.
Cada versión infectada tenía el mismo código malicioso oculto añadido. En el momento en que cualquier programa cargaba node-ipc, el código se ejecutaba automáticamente.
Los investigadores de StepSecurity descubrieron cómo ocurrió el ataque. El desarrollador original de node-ipc tenía una dirección de correo electrónico vinculada al dominio atlantis-software[.]net. Sin embargo, el dominio expiró el 10 de enero de 2025.
El 7 de mayo de 2026, el atacante compró el mismo dominio a través de Namecheap, lo que le dio control sobre el correo electrónico antiguo del desarrollador. Desde allí, simplemente presionó “olvidé la contraseña” en npm, la restableció y entró con permiso total para publicar nuevas versiones de node-ipc.
El desarrollador real no tenía idea de que estaba sucediendo nada de esto. Las versiones maliciosas permanecieron activas durante aproximadamente dos horas antes de ser eliminadas.
El ladrón busca 90+ tipos de credenciales
La carga útil incrustada busca más de 90 tipos de credenciales de desarrolladores y en la nube. Tokens de AWS, secretos de Google Cloud y Azure, claves SSH, configuraciones de Kubernetes, tokens de CLI de GitHub, todos están en la lista.
Para los desarrolladores de cripto, el malware asalta específicamente los archivos .env. Estos suelen contener claves privadas, credenciales de nodos RPC y secretos de API de exchanges.
Para colar los datos robados, la carga útil utiliza túneles DNS. Básicamente oculta los archivos dentro de solicitudes de búsqueda de internet que parecen normales. La mayoría de las herramientas de seguridad de red no detectan eso.
Los equipos de seguridad están diciendo que cualquier proyecto que haya ejecutado npm install o haya actualizado automáticamente dependencias durante esa ventana de dos horas debe asumir una compromiso.
Pasos inmediatos, según las directrices de SlowMist:
- Verifique los archivos lock por versiones de node-ipc 9.1.6, 9.2.3 o 12.0.1.
- Revirta a la última versión que sabe que es segura.
- Cambie todas las credenciales que puedan haber filtrado.
Los ataques a la cadena de suministro en npm se han convertido en algo habitual en 2026. Los proyectos cripto reciben golpes más duros que la mayoría porque las credenciales robadas pueden convertirse en dinero robado rápidamente.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Qué versiones de node-ipc contienen el malware?
Las versiones 9.1.6, 9.2.3 y 12.0.1. SlowMist y StepSecurity las marcaron a todas. Las tres contenían la misma carga ofuscada que se ejecuta apenas cargas el paquete.
¿Cómo logró el atacante tomar el control de la cuenta del mantenedor?
El dominio de correo electrónico del mantenedor original, atlantis-software[.]net, expiró el 10 de enero de 2025. El atacante lo volvió a registrar a través de Namecheap el 7 de mayo de 2026 y luego utilizó el proceso de restablecimiento de contraseña de npm para apoderarse de la cuenta.
¿Qué es exactamente lo que captura el robo de datos?
Más de 90 tipos de credenciales. Tokens de AWS, credenciales de Google Cloud y Azure, claves SSH, configuraciones de Kubernetes, tokens de GitHub CLI, archivos de historial de shell y archivos .env, que a menudo contienen claves privadas criptográficas y secretos de API de intercambio.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
