Una falla crítica de React desencadena una ola de drenadores de billeteras de criptomonedas

Security Alliance (SEAL) ha emitido una advertencia de que los hackers están explotando una vulnerabilidad grave de React para tomar el control de sitios web de criptomonedas. SEAL declaró que la vulnerabilidad está alimentando un aumento de ataques de drenaje de billeteras que ponen a los usuarios y plataformas en riesgo inmediato.

Los Componentes del Servidor React (RSC) alimentan el resultado renderizado a los clientes (navegadores) mientras operan en el servidor, en lugar de en el navegador. Sin embargo, el equipo de React descubrió una vulnerabilidad crítica con una calificación máxima de severidad de 10 de 10 en estos paquetes.

Los servidores React sin parches corren riesgo de ataques de ejecución remota de código

El equipo de React emitido un aviso que indica que la vulnerabilidad, conocida como React2Shell y listada como CVE-2025-55182, permite a los atacantes ejecutar remotamente código en servidores comprometidos sin requerir autenticación. Los mantenedores de React reportaron la vulnerabilidad el 3 de diciembre y le asignaron la puntuación de severidad más alta posible.

Según el equipo de React, CVE-2025-55182, afecta a los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack en las versiones 19.0, 19.1.0, 19.1.1 y 19.2.0.

Drenadores de Criptomonedas usando React CVE-2025-55182

Estamos observando un gran aumento en los drenadores cargados en sitios web legítimos (cripto) mediante la explotación de la reciente CVE de React.

Todos los sitios web deben revisar el código front-end en busca de activos sospechosos AHORA.

— Security Alliance (@_SEAL_Org) Diciembre 13, 2025

SEAL instó a que "Todos los sitios web deben revisar el código front-end en busca de activos sospechosos AHORA". SEAL también declaró que los usuarios deben tener precaución al firmar cualquier firma de permiso relacionada con criptomonedas, ya que todos los sitios web, no solo aquellos que utilizan Web3 protocolos, son vulnerables.

Según SEAL, todos los equipos de desarrollo web deben escanear hosts en busca de CVE-2025-55182 y ver si su código está cargando inesperadamente activos desde hosts desconocidos. Seal instruyó además que los equipos deben confirmar que la billetera muestra el destinatario correcto en la solicitud de firma de firma. Los equipos también deben determinar si alguno de los "Scripts" cargados por su código es JavaScript ofuscado.

Poco después de la divulgación de CVE-2025-55182, SEAl encontró dos vulnerabilidades más en los Componentes del Servidor React mientras probaba el parche anterior. Según el blog de React, SEAL divulgó CVE-2025-55184 y CVE-2025-67779 (CVSS 7.5), que son identificados como vulnerabilidades de Denegación de Servicio y Alta Severidad. A continuación, SEAL divulgó CVE-2025-55183 (CVSS 5.3) que los investigadores identificaron como Exposición de Código Fuente y Severidad Media.

El equipo de React aconsejó que todos los sitios web actualicen inmediatamente debido a la gravedad de las vulnerabilidades reveladas recientemente.

Según el asesoramiento de JS, la vulnerabilidad de denegación de servicio, identificada como CVE-2025-55184, permite a los atacantes crear solicitudes HTTP maliciosas y enviarlas a cualquier punto final de App Router o Server Function. El informe explicó además que estas solicitudes crean un bucle infinito que congela el proceso del servidor e impide que se sirvan futuras solicitudes HTTP.

De acuerdo con el Sistema Común de Puntuación de Vulnerabilidades (CVSS), el CVE-2025-55184 tiene una puntuación de severidad alta de 7,5 sobre 10.

El CVE-2025-55183, la segunda vulnerabilidad de filtración de código fuente, tiene una calificación de severidad media de 5,3 sobre 10.

Según Next.js, la cadena de explotación sería similar. Next.js explicarse que un punto final susceptible recibe una solicitud HTTP especialmente construida por el atacante, la cual devuelve el código fuente de cualquier Server Function. El equipo de Next.js advirtió que los secretos codificados y la lógica de la empresa podrían verse expuestos mediante la divulgación del código fuente generado.

Los drenadores de criptomonedas perfeccionan tácticas de evasión para el robo cripto sigiloso

El aumento de los drenadores, facilitado por la vulnerabilidad de React, coincide con la prueba de nuevas estrategias por parte de operadores de drenadores que roban criptomonedas y sus afiliados para evadir la detección y explotar billeteras de criptomonedas. 

Según especialistas en seguridad cripto de la Alianza de Seguridad (SEAL), los afiliados de los drenadores ahora utilizan dominios de alta reputación para páginas de destino y alojamiento de cargas útiles, re-registran dominios previamente válidos e implementan técnicas sofisticadas de huella digital. Los investigadores de Security que que el objetivo es difundir los drenadores de criptomonedas, un fragmento de JavaScript dañino que se inyecta en sitios web de phishing, y frustrar a los investigadores de seguridad.

SEAL dijo que las tácticas de evasión varían entre los afiliados de una familia de drenadores específica y no se aplican de manera consistente a nivel del servicio de drenaje.

En un escenario diferente de crimen cripto, el protocolo DeFi Aevo (anteriormente Ribbon Finance) anunció el domingo que se habían drenado 2,3 millones de dólares de sus bóvedas. El creador de DeFi, Anton Cheng, afirmó que un código de Oracle actualizado, que permitía a cualquier persona establecer precios para nuevos activos, fue la causa principal de la brecha.