Se detecta una puerta trasera para robar criptomonedas en la plataforma Snap Store para usuarios de Linux
- Los ciberdelincuentes están aprovechando dominios de desarrolladores expirados para secuestrar cuentas confiables de la Snap Store y distribuir malware dedicado al robo de criptomonedas.
- Aplicaciones falsas de billeteras que suplantan a Exodus, Ledger Live y Trust Wallet solicitan frases semilla a los usuarios, lo que provoca la pérdida total de sus fondos.
- Se ha confirmado que al menos dos cuentas de editores de la Snap Store han sido comprometidas.
Los usuarios de Linux enfrentan una nueva amenaza ya que los ciberdelincuentes explotan una vulnerabilidad crítica en la Snap Store de Canonical, secuestrando cuentas de desarrolladores de confianza para distribuir malware que roba criptomonedas disfrazado de aplicaciones de billetera legítimas.
El director de información de seguridad de SlowMist, 23pds, quien tiene el handle en X @im23pds, advirtió que los atacantes están monitoreando cuentas de desarrolladores cuyos nombres de dominio asociados han expirado.
¿Cómo funciona el ataque a la Snap Store?
23pds escribió, “Usuarios de Linux, cuidado: Un nuevo tipo de ataque está en auge en la Snap Store: los dominios expirados han sido tomados por hackers y convertidos en puertas traseras para robar los activos cripto de los usuarios.
Las aplicaciones manipuladas se disfrazan de carteras cripto conocidas como Exodus, Ledger Live o Trust Wallet, engañando a los usuarios para que introduzcan su ‘frase semilla de recuperación de la billetera’, lo que resulta en el robo total de los fondos.”
Una vez que un dominio objetivo expira y queda disponible para su registro, los atacantes lo compran inmediatamente y luego utilizan la dirección de correo electrónico vinculada a ese dominio para activar restablecimientos de contraseña en la Snap Store. Esto les otorga el control total sobre identidades de editores de larga data y de confianza sin levantar sospechas inmediatas.
Se ha confirmado que al menos dos cuentas de desarrolladores han sido comprometidas utilizando este método, con los dominios storewise.tech y vagueentertainment.com cayendo en manos de los atacantes.
Los actores maliciosos, que según Alan Pope, ex desarrollador de Canonical y colaborador de Ubuntu, se cree que están basados en Croacia, han estado llevando a cabo campañas contra los usuarios de la Snap Store durante aproximadamente dos años.
La toma de dominios es la evolución más reciente y preocupante de la acción de estos malos actores, ya que ahora significa que “el software legítimo instalado y confiado por los usuarios durante años podría tener código malicioso inyectado por hackers a través de los canales de actualización oficiales durante la noche.”
Según 23pds, “Las aplicaciones manipuladas suelen estar disfrazadas de carteras cripto conocidas como Exodus, Ledger Live o Trust Wallet, con interfaces casi indistinguibles de las versiones genuinas.”
Él declaró: “Una vez que la aplicación se inicia, primero se conecta a un servidor remoto para verificar la red y luego solicita inmediatamente al usuario que ingrese su ‘frase mnemotécnica de recuperación de la billetera’. Una vez que el usuario la envía, estos datos sensibles se transmiten instantáneamente al servidor del atacante, resultando en el robo de fondos.”
Las víctimas a menudo descubren que sus fondos han sido robados antes de notar que algo está mal, ya que el ataque explota relaciones de confianza de larga data.
¿Qué están haciendo las principales plataformas para limitar los ataques de resurrección de dominios?
GitHub, PyPI y npm han experimentado ataques de resurrección de dominios similares. Un estudio académico de 2022 identificó más de 2.800 cuentas de desarrolladores de npm configuradas con direcciones de correo electrónico cuyos dominios habían expirado posteriormente, destacando la escala de la vulnerabilidad potencial.
En junio de 2025, el equipo de seguridad de Python eliminó más de 1.800 direcciones de correo electrónico expiradas de las cuentas de desarrolladores, obligando a los desarrolladores a volver a verificar sus credenciales con dominios activos en su próximo inicio de sesión.
El problema radica en lo que los expertos en seguridad llaman pudrición de internet o de enlaces, donde los desarrolladores que cambian de trabajo o proveedores de correo electrónico no actualizan la información de la cuenta en todas las plataformas, creando brechas de seguridad explotables.
Pope declaró que Canonical necesita abordar el problema implementando salvaguardas, lo que podría incluir monitorear la expiración de dominios en las cuentas de editores, requerir verificación adicional para cuentas inactivas, implementar autenticación de dos factores obligatoria u otras medidas.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
