Los hackers apuntan al ecosistema OpenVSX para robar billeteras de criptomonedas

GlassWorm, un malware conocido, ha colocado 73 extensiones dañinas en el registro de OpenVSX. Los hackers lo usan para robar billeteras de criptomonedas y otros datos de los desarrolladores.

Los investigadores de seguridad descubrieron que seis extensiones ya se convirtieron en cargas útiles activas. Las extensiones se subieron como copias falsas de listados conocidos que no eran dañinos. Según un informe de Socket, el código malicioso aparece en una actualización posterior.

El malware GlassWorm ataca a desarrolladores de criptomonedas

En octubre de 2025, GlassWorm apareció por primera vez. Utilizaba caracteres Unicode invisibles para ocultar código destinado a robar datos de billeteras de criptomonedas y credenciales de desarrollador. La campaña se ha extendido desde entonces a paquetes de npm, repositorios de GitHub, el Marketplace de Visual Studio Code y OpenVSX.

Una ola afectó a cientos de repositorios y docenas de extensiones a mediados de marzo de 2026, pero su tamaño llamó la atención. Varios grupos de investigación detectaron la actividad temprano y ayudaron a detenerla.

Los atacantes parecen haber cambiado su enfoque. La última tanda no incrusta malware de inmediato; en cambio, utiliza un modelo de activación retrasada. Envía una extensión limpia, construye una base de instalación y luego envía una actualización maliciosa.

“Las extensiones clonadas o que impersonan a otras se publican primero sin una carga útil obvia, y luego se actualizan para entregar malware”, dijeron los investigadores de Socket.

Los investigadores de seguridad encontraron tres formas de entregar el código malicioso en las 73 extensiones. Una forma es usar un segundo paquete VSIX desde GitHub mientras el programa está en ejecución e instalarlo usando comandos CLI. Otro método carga módulos compilados específicos de la plataforma, como archivos [.]node que contienen la lógica principal, incluyendo rutinas para obtener más cargas útiles.

Una tercera forma usa JavaScript altamente ofuscado que se decodifica en tiempo de ejecución para descargar e instalar extensiones maliciosas. También tiene URLs encriptados o de respaldo para obtener la carga útil.

Las extensiones se parecen mucho a listados genuinos.

En un caso, el atacante copió el icono de la extensión genuina y le dio un nombre y descripción casi iguales. El nombre del publicador y el identificador único son lo que los diferencian, pero la mayoría de los desarrolladores no revisan estos detalles antes de instalar.

GlassWorm está diseñado para acceder a tokens de acceso, datos de billeteras de criptomonedas, claves SSH e información sobre el entorno de desarrollo.

Las billeteras de criptomonedas están continuamente bajo ataque de hackers

La amenaza va más allá de las billeteras de criptomonedas. Un incidente diferente pero relacionado muestra cómo los ataques a la cadena de suministro pueden propagarse a través de la infraestructura de los desarrolladores.

El 22 de abril, el registro de npm alojó una versión maliciosa de la CLI de Bitwarden durante 93 minutos bajo el nombre oficial del paquete @bitwarden/cli@2026.4.0. JFrog, una empresa de seguridad, encontró que la carga útil robaba tokens de GitHub, tokens de npm, claves SSH, credenciales de AWS y Azure, y secretos de GitHub Actions.

El análisis de JFrog encontró que el paquete hackeado modificaba el gancho de instalación y el punto de entrada binario para cargar el entorno de ejecución Bun y ejecutar una carga útil ofuscada, tanto durante la instalación como en ejecución.

Según los registros de la propia empresa, Bitwarden tiene más de 50,000 empresas y 10 millones de usuarios. Socket vinculó ese ataque a una campaña mayor rastreada por investigadores de Checkmarx, y Bitwarden confirmó la conexión.

El problema radica en cómo operan npm y otros registros. Los atacantes explotan el tiempo entre la publicación de un paquete y la revisión de su contenido.

Sonatype encontró aproximadamente 454,600 nuevos paquetes maliciosos infestando registros en 2025. Los actores de amenazas que buscan acceder a custodia de criptomonedas, DeFi y plataformas de lanzamiento de tokens han comenzado a dirigirse a los registros y a lanzar flujos de trabajo maliciosos.

Para los desarrolladores que instalaron alguna de las 73 extensiones de OpenVSX señaladas, Socket recomienda rotar todos los secretos y limpiar sus entornos de desarrollo.

Lo próximo a vigilar es si las 67 extensiones inactivas restantes se activan en los próximos días, y si OpenVSX implementa controles adicionales de revisión para las actualizaciones de extensiones.

Tu banco está usando tu dinero. Tú solo recibes las migajas. Mira nuestro video gratuito sobre cómo convertirte en tu propio banco