La comunidad de desarrollo de criptomonedas enfrenta una grave amenaza en la cadena de suministro tras descubrirse cinco paquetes npm maliciosos que roban claves privadas de billeteras y las envían directamente a un bot de Telegram. Publicados bajo la cuenta npm galedonovan, estos paquetes fueron diseñados para parecer bibliotecas confiables en las que los desarrolladores de Solana y Ethereum confían a diario. 

Un ataque coordinado a la cadena de suministro impactó a la comunidad de desarrolladores el 16 de marzo de 2026, cuando un actor de amenazas conocido como Glassworm introdujo puertas traseras en dos paquetes npm populares de React Native, convirtiéndolos en ladrones silenciosos de credenciales y criptomonedas. Los paquetes afectados —react-native-country-select@0.3.91 y react-native-international-phone-number@0.11.8— fueron publicados con minutos de diferencia por el mismo editor, AstrOOnauta

Los investigadores de seguridad de JFrog, Guy Korolevski y Meitar Palas, descubrieron un sofisticado ataque a la cadena de suministro en el ecosistema npm el 12 de marzo de 2026, en el que actores de amenazas disfrazaron un malware robador de información como un ejecutor de scripts legítimo de Roblox. La campaña, autodenominada Cipher stealer, utilizó dos paquetes maliciosos: bluelite-bot-manager y test-logsmodule-v-zisko, para distribuir un ejecutable de Windows capaz de recolectar credenciales de Discord

Un nuevo gusano de cadena de suministro está atacando activamente el ecosistema npm, con un equipo de investigación identificando al menos 19 paquetes maliciosos diseñados para robar secretos de desarrolladores y CI/CD, y propagarse automáticamente a través de repositorios y flujos de trabajo. La campaña, rastreada como SANDWORMMODE, utiliza paquetes npm con typosquatting y GitHub Actions envenenadas para infectar tanto máquinas de desarrolladores.

Al menos 18 paquetes muy populares de NPM han sido comprometidos. En conjunto, estos paquetes superan las 2.000 millones de descargas semanales, lo que convierte esta brecha en un ataque de proporciones colosales. Fueron modificados para incluir un fragmento de código altamente malicioso, capaz de ejecutarse directamente en el cliente de un sitio web.

Github ha sido motivo de polémica en las últimas horas. Un desarrollador de código abierto, Marak Squires o Marak en Twitter, ha denunciado que la plataforma ha cerrado sus cuentas y proyectos (cientos, según él), después de cambiar dos bibliotecas creadas por él mismo a una versión diferente. Las bibliotecas cambiadas son utilizadas por muchas personas y se llaman 'colors' y 'faker'.

 Descubiertos dos paquetes pertenecientes a NPM que podrían contener malware que requieren volver a versiones anteriores. Los paquetes «coa» y «rc» estaban comprometidos, y tienen una alta popularidad, contando con unas 22 millones de descargas semanales.