SlowMist descubre que 'Solana-pumpfun-bot' en GitHub contiene una trampa para robar monedas

SlowMist ha sacado a la luz que el proyecto de código abierto ampliamente utilizado “Solana-pumpfun-bot” en la plataforma GitHub tiene un código que roba criptomonedas de las billeteras de sus usuarios. 

La investigación comenzó el 2 de julio de 2025. Una víctima contactó al equipo de seguridad de SlowMist para buscar ayuda para analizar las razones del robo de los activos de su billetera. 

Eldent se debió a que el día anterior usó un proyecto de código abierto alojado en GitHub, donde le robaron los activos cifrados. SlowMist afirma que los fondos robados se están transfiriendo a la plataforma de intercambio FixedFloat.

El autor del proyecto es el principal sospechoso

Para llevar a cabo el ataque, el hacker se hizo pasar por un proyecto oficial de código abierto (solana-pumpfun-bot) para que la gente descargara y ejecutara código malicioso. Durante la investigación, se descubrió que un paquetedent sospechoso llamado "crypto-layout-utils" había sido eliminado de la fuente oficial de NPM.

Posteriormente, el hacker cargó una versión maliciosa del software en lugar de la URL de descarga original. Envió datos confidenciales a un servidor controlado por el atacante tras buscar archivos relacionados con la billetera en el PC de la víctima.

La investigación también reveló que el autor del proyecto es sospechoso de controlar varias cuentas de GitHub. Estas se utilizaban para bifurcar proyectos maliciosos, distribuir programas maliciosos e inflar artificialmente la popularidad del proyecto. Sedentmúltiples bifurcaciones de proyectos con comportamiento malicioso similar, algunas de las cuales utilizaban otro paquete malicioso, "bs58-encrypt-utils".

Toda la cadena de ataque implica la colaboración de varias cuentas de GitHub. Esto amplió el alcance de la difusión, aumentó la credibilidad y resultó extremadamente engañoso. Al mismo tiempo, este ataque empleó tanto ingeniería social como medios técnicos, y es difícil defenderse completamente dentro de una organización.

Se cree que la actividad maliciosa comenzó el 12 de junio de 2025. Fue entonces cuando el atacante creó el paquete malicioso “bs58-encrypt-utils”. 

El hackeo de criptomonedas no ha avanzado mucho; se han vuelto más astutos

Según Slowmist, las técnicas de pirateo de criptomonedas no han avanzado mucho, pero se han vuelto mucho más sofisticadas. La jefa de operaciones de SlowMist, Lisa, afirmó en el informe de análisis de fondos robados de MistTracque, si bien no se observó un avance en las técnicas de pirateo, las estafas se han vuelto más sofisticadas. 

Se observa un aumento en las extensiones de navegador falsas, las carteras de hardware manipuladas y los ataques de ingeniería social. «Estamos viendo un cambio claro de los ataques exclusivamente en la cadena de bloques a los puntos de entrada fuera de la cadena: las extensiones de navegador, las cuentas de redes sociales, los flujos de autenticación y el comportamiento del usuario se están convirtiendo en superficies de ataque comunes», dijo Lisa. 

Por ejemplo, los atacantes guían a los usuarios a visitar sitios web conocidos y de uso frecuente, como Notion o Zoom. Cuando el usuario intenta descargar software de estos sitios oficiales, los archivos entregados ya han sido reemplazados maliciosamente. 

Otra forma es cuando los hackers envían a los usuarios una billetera fría comprometida. Les dicen a sus víctimas que han ganado un dispositivo gratis en un sorteo o les dicen que su dispositivo actual estaba comprometido y que necesitaban transferir sus activos. Aún mejor, los hackers han introducido sitios web falsos. 

El golpe final suele ser la manipulación. «Los atacantes saben que frases como "firma de riesgo detectada" pueden provocar pánico e incitar a los usuarios a actuar precipitadamente. Una vez que se activa ese estado emocional, es mucho más fácil manipularlos para que hagan cosas que normalmente no harían, como hacer clic en enlaces o compartir información confidencial», explicó Lisa.

Otros ataques emplearon métodos de hacking que aprovecharon la vulnerabilidad EIP-7702, añadida a la versión más reciente de Ethereum Pectra. Otro ataque se apoderó de las cuentas de varios usuarios de WeChat y los atacó. Según SlowMist, Ethereum lideró todos los ecosistemas en pérdidas de seguridad en el primer semestre de 2025, con DeFi perdiendo alrededor de 470 millones de dólares.