Una nueva campana de malware esta poniendo en jaque a usuarios de navegadores basados en Chromium. Investigadores de seguridad de la firma Socket, liderados por el analista Karlo Zanki, identificaron un total de 19 extensiones maliciosas, 18 publicadas en Chrome Web Store y una en el repositorio de Microsoft Edge, que llevan operando durante los ultimos seis meses con un unico proposito: robar las claves privadas de wallets de criptomonedas y vaciar las cuentas de las victimas sin levantar sospechas.

Lo mas preocupante del hallazgo no es solo la escala, sino el nivel de sofisticacion del ataque. Las extensiones comparten patrones de codigo y tecnicas de ofuscacion que apuntan a un mismo grupo de ciberdelincuentes detras de la operacion. Esto sugiere que no estamos ante desarrolladores aislados creando malware por separado, sino ante una campana coordinada y persistente, probablemente con infraestructura compartida para exfiltrar datos y lavar los fondos robados.

Como opera el engaño

Estas extensiones se camuflan como herramientas aparentemente legitimas, una estrategia que ya se ha convertido en clasica del cibercrimen. Utilizan nombres, descripciones e interfaces que imitan servicios populares como VPNs, gestores de archivos, asistentes de IA, herramientas de marketing o incluso plugins de productividad. La victima las instala convencida de obtener una funcionalidad util, y el malware queda latente en el navegador, esperando el momento adecuado para actuar.

Una vez instaladas, las extensiones analizan el trafico del navegador en busca de frases semilla, claves privadas y credenciales asociadas a billeteras cripto como MetaMask, Phantom o Coinbase Wallet. Cuando detectan una transaccion o un login relevante, inyectan codigo que redirige los fondos hacia wallets controladas por los atacantes o que filtra las claves directamente a servidores externos. El resultado para la victima suele ser devastador: cuentas vaciadas en minutos, sin posibilidad real de recuperacion una vez que los activos cambian de direccion en la blockchain.

Por que este caso es diferente

Aunque las extensiones maliciosas en navegadores no son novedad, este caso destaca por varios motivos. Primero, la campana ha logrado mantenerse activa durante medio ano, lo que evidencia lagunas importantes en los procesos de revision de las tiendas oficiales de Google y Microsoft. Segundo, el nivel de codigo compartido entre extensiones indica profesionalizacion, no aficionados. Y tercero, el objetivo especifico en criptomonedas refleja como el crimen digital se ha especializado en activos de alto valor y dificil rastreo.

Desde IAOnda hemos cubierto en anteriores ocasiones como la IA generativa esta siendo utilizada tanto para crear codigo malicioso mas sofisticado como para automatizar la creacion de extensiones falsas a escala. Este caso parece encajar en esa tendencia: herramientas que permiten a actores con conocimientos tecnicos medios desplegar operaciones complejas con relativamente poco esfuerzo.

Que pueden hacer los usuarios y empresas

Para profesionales tech que gestionan activos digitales o desarrollan productos Web3, este descubrimiento es un llamado de atencion urgente. La recomendacion basica pero critica es evitar instalar extensiones que no sean absolutamente necesarias, verificar la identidad del desarrollador antes de cualquier instalacion y revisar periodicamente los permisos concedidos. Las extensiones de navegador operan con privilegios elevados sobre el trafico web, lo que las convierte en vectores de ataque especialmente peligrosos.

En el ambito empresarial, los equipos de seguridad deben considerar la posibilidad de bloquear la instalacion de extensiones no aprobadas en equipos corporativos, implementar soluciones de monitorizacion del navegador y formar a los empleados sobre los riesgos especificos del ecosistema cripto. La gestion de la superficie de ataque en el navegador se ha convertido en un frente que ninguna organizacion puede permitirse ignorar.

El caso tambien reabre el debate sobre la responsabilidad de las tiendas de aplicaciones. Si Google y Microsoft no pueden detectar campanas activas durante meses que afectan a miles de usuarios, el modelo de confianza en estas plataformas queda seriamente comprometido. Mientras la regulacion no avance en este terreno, la responsabilidad recaera, como casi siempre, en el usuario final.