Los hackers instalan 73 extensiones durmientes en OpenVSX para robar carteras cripto
- El malware GlassWorm ha instalado 73 extensiones dañinas en el registro de OpenVSX.
- Las extensiones están diseñadas para robar las billeteras de criptomonedas de los desarrolladores y otros datos sensibles.
- El malware utiliza un modelo de activación diferida: primero envía una extensión limpia y luego una actualización maliciosa.
GlassWorm, un malware conocido, ha introducido 73 extensiones dañinas en el registro de OpenVSX. Los hackers lo utilizan para robar las carteras cripto de los desarrolladores y otros datos.
Los investigadores de seguridad descubrieron que seis extensiones ya se han convertido en cargas útiles activas. Las extensiones se subieron como copias falsas de listados conocidos que no eran dañinos. Según un informe de Socket, el código malicioso llega en una actualización posterior.
El malware GlassWorm ataca a los desarrolladores de cripto
En octubre de 2025, GlassWorm apareció por primera vez. Utilizaba caracteres Unicode invisibles para ocultar el código destinado a robar datos de carteras cripto y credenciales de desarrolladores. Desde entonces, la campaña se ha extendido a paquetes de npm, repositorios de GitHub, el Marketplace de Visual Studio Code y OpenVSX.
Una oleada afectó a cientos de repositorios y decenas de extensiones a mediados de marzo de 2026, pero su tamaño llamó la atención. Varios grupos de investigación detectaron la actividad a tiempo y ayudaron a detenerla.
Los atacantes parecen haber cambiado su enfoque. El último lote no incrusta el malware de inmediato; en su lugar, utiliza un modelo de activación diferida. Envía una extensión limpia, construye una base de instalaciones y luego envía una actualización maliciosa.
“Las extensiones clonadas o suplantadas se publican primero sin una carga útil obvia y luego se actualizan más tarde para entregar malware”, dijeron los investigadores de Socket .
Los investigadores de seguridad encontraron tres formas de entregar el código malicioso a través de las 73 extensiones. Una forma es utilizar un segundo paquete VSIX de GitHub mientras el programa está en ejecución e instalarlo mediante comandos de CLI. Otro método carga módulos compilados específicos de la plataforma, como archivos [.]node que contienen la lógica principal, incluidas las rutinas para obtener más cargas útiles.
Una tercera forma utiliza JavaScript altamente ofuscado que se decodifica en tiempo de ejecución para descargar e instalar extensiones maliciosas. También cuenta con URLs cifradas o de respaldo para obtener la carga útil.
Las extensiones se parecen mucho a las listadas genuinas.
En un caso, el atacante copió el icono de la extensión genuina y le dio un nombre y una descripción casi idénticos. El nombre del editor y el identificador único son lo que las distingue, pero la mayoría de los desarrolladores no examinan estos detalles de cerca antes de instalar.
GlassWorm está diseñado para atacar los tokens de acceso, los datos de las carteras cripto, las claves SSH y la información sobre el entorno del desarrollador.
Las carteras cripto están continuamente bajo ataque de los hackers
La amenaza va más allá de las carteras cripto. Un incidente diferente pero relacionado muestra cómo los ataques a la cadena de suministro pueden propagarse a través de la infraestructura de los desarrolladores.
El 22 de abril, el registro npm alojó una versión maliciosa de la CLI de Bitwarden durante 93 minutos bajo el nombre oficial del paquete @bitwarden/[email protected]. JFrog, una empresa de seguridad, descubrió que la carga útil robaba tokens de GitHub, tokens de npm, claves SSH, credenciales de AWS y Azure, y secretos de GitHub Actions.
El análisis de JFrog reveló que el paquete hackeado modificó el gancho de instalación y el punto de entrada binario para cargar el entorno de ejecución Bun y ejecutar una carga útil ofuscada, tanto durante la instalación como mientras se ejecuta.
Según sus propios registros, Bitwarden cuenta con más de 50.000 empresas y 10 millones de usuarios. Socket vinculó este ataque a una campaña más amplia rastreada por los investigadores de Checkmarx, y Bitwarden confirmó la conexión.
El problema radica en cómo operan npm y otros registros. Los atacantes explotan el tiempo entre la publicación de un paquete y la verificación de su contenido.
Sonatype encontró aproximadamente 454.600 nuevos paquetes maliciosos que infestaron los registros en 2025. Los actores de amenazas que buscan obtener acceso a la custodia cripto, DeFi y las plataformas de lanzamiento de tokens han comenzado a dirigirse a los registros y a publicar flujos de trabajo maliciosos.
Para los desarrolladores que instalaron cualquiera de las 73 extensiones de OpenVSX marcadas como sospechosas, Socket recomienda rotar todos los secretos y limpiar sus entornos de desarrollo.
Lo siguiente a vigilar es si las 67 extensiones inactivas restantes se activan en los próximos días y si OpenVSX implementa controles de revisión adicionales para las actualizaciones de extensiones.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
