La comunidad de desarrollo de criptomonedas enfrenta una grave amenaza en la cadena de suministro tras descubrirse cinco paquetes npm maliciosos que roban claves privadas de billeteras y las envían directamente a un bot de Telegram. Publicados bajo la cuenta npm galedonovan, estos paquetes fueron diseñados para parecer bibliotecas confiables en las que los desarrolladores de Solana y Ethereum confían a diario. 

La comunidad de desarrollo de criptomonedas enfrenta una grave amenaza en la cadena de suministro tras descubrirse cinco paquetes npm maliciosos que roban claves privadas de wallets y las envían directamente a un bot de Telegram. Publicados bajo la cuenta npm “galedonovan”, estos paquetes fueron diseñados para parecer bibliotecas confiables en las que los desarrolladores de Solana y Ethereum confían a diario. Una vez instalados, funcionan en silencio en segundo plano, capturando material clave y enviándolo a un atacante sin generar errores visibles. El ataque apunta a ambos ecosistemas blockchain principales al mismo tiempo. Cuatro paquetes — raydium-bs58, base-x-64, bs58-basic y base_xd — van tras los desarrolladores de Solana interceptando llamadas a decode() en Base58, el método estándar para cargar un par de claves desde una cadena de clave privada. El quinto paquete, ethersproject-wallet, se engancha directamente al constructor de Wallet de Ethereum en el momento en que se pasa una clave privada. 

 

 En ambos casos, la clave viaja como texto plano a un grupo de Telegram antes de que la función legítima termine, dando al atacante acceso inmediato para vaciar cualquier wallet conectada. 

 

Investigadores de Socket.dev identificaron los cinco paquetes como parte de una campaña coordinada de typosquatting, señalando que cada uno estaba vinculado a la misma cuenta npm y usaba el mismo endpoint de bot de Telegram codificado para la exfiltración. La infraestructura de comando y control (C2) llevaba a un único bot de Telegram, @Test20131_Bot, con un grupo receptor administrado por @crypto_sol3 (nombre de visualización: Crypto_Dev, ID de usuario: 7847516435). Dado que el token del bot y el ID del chat estaban codificados en cada paquete, no se necesitaba un servidor de staging externo ni un dominio — el robo funcionaba siempre que el bot de Telegram permaneciera en línea. Un paquete, base_xd, fue retirado de npm solo cinco minutos después de su publicación, pero los otros cuatro permanecían activos en el momento del descubrimiento.

El escáner de IA de Socket detectó base-x-64 al identificar el canal de exfiltración ofuscado dentro de src/cjs/index.cjs y marcar que los datos pasados a decode() estaban siendo enviados a un bot de Telegram. Se han enviado solicitudes de eliminación para los cinco paquetes y la cuenta del actor de amenazas al equipo de seguridad de npm. La amenaza es especialmente difícil de detectar porque los paquetes maliciosos se comportan exactamente como los reales. Un desarrollador que instale raydium-bs58 obtendrá el resultado correcto, no verá errores y no tendrá motivo para sospechar nada — incluso mientras su clave privada es enviada al grupo de Telegram de un desconocido.

Cómo funciona el robo de claves

Cada paquete en esta campaña utiliza una técnica conocida como hooking de funciones. El atacante envuelve una función por la que los desarrolladores suelen pasar claves privadas, intercepta la clave en el momento en que llega, la envía a un bot de Telegram y luego devuelve el control a la función original para que todo parezca funcionar con normalidad. En raydium-bs58, la función modificada decode() llama a sendMessage() con la clave antes de ejecutar el decode real, por lo que la clave se envía incluso si el decode falla.

En base-x-64, la carga útil se oculta tras un cifrado de rotación de arrays que revuelve la URL de Telegram, el token del bot y el ID del chat, dificultando su detección durante una revisión de código. El paquete bs58-basic no contiene código malicioso propio — simplemente lista base-x-64 como su única dependencia en tiempo de ejecución, por lo que el robo ocurre a través de una cadena transitiva sin banderas rojas evidentes. El paquete ethersproject-wallet clona casi a la perfección la versión 5.8.0 legítima de @ethersproject/wallet, con solo una línea inyectada insertada después del paso de compilación de TypeScript, confirmado por una discrepancia entre el mapa de origen y el resultado compilado. Cualquier desarrollador que haya instalado estos paquetes debe tratar todas las claves privadas que pasaron por ellos como completamente comprometidas. Los fondos deben ser movidos y las claves rotadas sin demora. Los reemplazos legítimos son bs58, base-x y el paquete con ámbito @ethersproject/wallet del monorepo oficial de ethers.js. Las dependencias transitivas deben ser auditadas, ya que bs58-basic incorpora silenciosamente base-x-64. De ahora en adelante, cualquier paquete npm que reexporte una utilidad criptográfica con un wrapper delgado, o contenga código ofuscado cerca de la lógica de manejo de claves, debe ser tratado como sospechoso hasta que se demuestre lo contrario.

Fuentes:
https://cybersecuritynews.com/five-malicious-npm-packages/