dYdX es el objetivo de paquetes maliciosos que vacían las billeteras de sus usuarios

Los investigadores han revelado que actores maliciosos están apuntando a dYdX y utilizando paquetes maliciosos para vaciar las billeteras de sus usuarios. Según el informe, algunos paquetes de código abierto publicados en los repositorios npm y PyPi contenían código que robaba las credenciales de las billeteras de los desarrolladores de dYdX y de los sistemas backend.

dYdX es un exchange de derivados descentralizado que admite cientos de mercados para el comercio perpetuo. En el informe, investigadores de la firma de seguridad Socket mencionaron que todas las aplicaciones que utilizan las versiones comprometidas de npm están en riesgo. Afirmaron que el impacto directo de los ataques ha incluido la compromiso total de billeteras y robos de criptomonedas. El alcance del ataque incluye todas las aplicaciones que dependen de la versión comprometida, tanto en pruebas de desarrolladores con credenciales reales como en usuarios finales de producción.

Paquetes maliciosos vulneran las billeteras asociadas con dYdX

Según el informe, algunos de los paquetes que han sido infectados incluyen npm (@dydxprotocol/v4-client-js): (versiones 3.4.1, 1.22.1, 1.15.2, 1.0.31) y PyPI (dydx-v4-client): (versión 1.1.5post1). Socket mencionó que la plataforma ha procesado más de 1,5 billones de dólares en volumen de transacciones desde su debut en la industria de las finanzas descentralizadas, con un volumen de transacciones promedio de 200 millones a 540 millones de dólares. Además, la plataforma también tiene aproximadamente 175 millones de dólares en interés abierto.

El exchange proporciona bibliotecas de código que permiten a aplicaciones de terceros crear bots de trading, estrategias automatizadas o servicios backend, todos los cuales implican el uso de mnemotecnias o claves privadas para firmar. El malware de npm incrustó una función maliciosa en el paquete legítimo. Cuando se procesa una frase semilla que sustenta la seguridad de una billetera, la función la copia junto con una huella digital del dispositivo que ejecuta la aplicación.

La huella digital permite al actor de la amenaza emparejar las credenciales robadas con las víctimas en varios incidentes. El dominio que recibe las frases semilla es dydx[.]priceoracle[.]site, que imita al servicio legítimo de dYdX en dydx[.]xyz mediante typosquatting. El código malicioso disponible en PyPI continuó con la misma función de robo de credenciales, aunque implementa un troyano de acceso remoto (RAT) que permite la ejecución de nuevo malware en sistemas ya infectados.

Los investigadores señalaron que la puerta trasera recibía comandos de dydx[.]priceoracle[.]site, añadiendo que el dominio fue creado y registrado el 9 de enero, 17 días antes de que se cargara el paquete malicioso en PyPI. Según Socket, el RAT se ejecuta como un subproceso daemon en segundo plano, hace beacons al servidor C2 cada 10 segundos, recibe código Python del servidor y lo ejecuta en un subproceso aislado sin salida visible. Además, también utiliza un token de autorización codificado en duro.

Nuevo ataque muestra una tendencia perturbadora

Se añadió un socket que, una vez instalado, permitió a los actores de la amenaza ejecutar código Python arbitrario con privilegios de usuario, robar claves SSH, credenciales de API y código fuente. Además, podían instalar puertas traseras persistentes, exfiltrar archivos sensibles, monitorear la actividad del usuario y modificar archivos críticos. Los investigadores añadieron que los paquetes se publicaron en npm y PyPI utilizando cuentas oficiales de dYdX, lo que significaba que estaban comprometidos y eran utilizados por los atacantes.

Aunque dYdX aún no ha emitido un comunicado abordando el problema, esta es al menos la tercera vez que ha sido objetivo de ataques. El incidente anterior ocurrió en septiembre de 2022, cuando se cargó un código malicioso en el repositorio npm. En 2024, el sitio web de dYdX fue tomado después de que el sitio web V3 fuera secuestrado a través de DNS. Los usuarios fueron redirigidos a un sitio web malicioso que les pedía firmar transacciones diseñadas para vaciar sus billeteras.

Socket afirmó que este último incidente destaca un patrón perturbador de adversarios que apuntan a activos relacionados con dYdX utilizando canales de distribución de confianza. Señaló que los atacantes comprometieron a sabiendas paquetes en los ecosistemas de npm y PyPI para ampliar la superficie de ataque y llegar a desarrolladores de JavaScript y Python que trabajan con la plataforma. Cualquier persona que utilice la plataforma debe examinar cuidadosamente todas las aplicaciones en busca de dependencias de los paquetes maliciosos.