Ataque "Worm" contamina más de 400 paquetes NPM: ENS y proyectos cripto en riesgo, con robo de credenciales y claves de billeteras

El ecosistema de desarrollo de software ha sido sacudido por un ataque sofisticado tipo "worm" que ha infectado más de 400 paquete...

El ecosistema de desarrollo de software ha sido sacudido por un ataque sofisticado tipo "worm" que ha infectado más de 400 paquetes en el repositorio NPM, el mayor gestor de librerías JavaScript del mundo, comprometiendo proyectos clave como ENS (Ethereum Name Service) y docenas de aplicaciones Web3. El incidente, detectado el 20 de noviembre de 2025 por investigadores de Check Point y Fortinet, involucra un malware diseñado específicamente para robar credenciales de desarrolladores, tokens de autenticación y claves privadas de billeteras cripto, un golpe que ha encendido todas las alarmas en la comunidad dev y amenaza con propagarse a miles de dApps y sitios web construidos sobre estas dependencias. Este ataque, que explota la cadena de suministro de código abierto, representa uno de los mayores riesgos para la seguridad en Web3 desde el hack de Solana en 2022, y podría impactar a millones de usuarios si no se actúa con rapidez.

El malware, bautizado "NPMWorm" por los expertos, se propaga como un gusano al infectar paquetes populares como "ethers.js" y "web3-utils", insertando código malicioso que se ejecuta silenciosamente durante la instalación. Una vez activado, el script extrae datos sensibles —desde claves API de GitHub hasta seed phrases de MetaMask— y los envía a servidores controlados por los atacantes, presumiblemente en servidores offshore en Rusia o Corea del Norte. Check Point ha confirmado que al menos 150 paquetes están contaminados, incluyendo librerías usadas en 20.000 repositorios públicos de GitHub, lo que podría exponer a 5 millones de desarrolladores globales. ENS, el sistema de nombres de dominio de Ethereum que gestiona 2 millones de direcciones .eth, ha sido el más afectado, con un 15 % de sus dependencias comprometidas, lo que ha forzado la suspensión temporal de actualizaciones y una auditoría de emergencia que podría costar 10 millones de dólares.

La propagación ha sido fulminante: NPM, con 1,5 millones de paquetes activos y 2 billones de descargas semanales, permite que el worm se auto-replique al inyectar código en dependencias downstream, similar al ataque SolarWinds de 2020 pero enfocado en cripto. Fortinet estima que 300.000 desarrolladores han instalado paquetes infectados en las últimas 72 horas, con robos confirmados de 500 claves de billeteras que han drenado 8 millones de dólares en ETH y USDC. Proyectos como Uniswap y Aave han emitido alertas urgentes recomendando npm audit y rotación de claves, mientras GitHub ha bloqueado 5.000 repositorios sospechosos.

La comunidad dev ha reaccionado con furia: en Discord de Ethereum, 100.000 miembros han exigido una "revisión total de NPM", y foros como Hacker News acumulan 50.000 comentarios criticando la "falta de verificación" en el ecosistema open source. Vitalik Buterin ha tuiteado: "Esto es un recordatorio brutal de que la cadena de suministro es tan débil como su eslabón más frágil". La SEC de EE.UU. ha abierto una investigación sobre posibles impactos en tokens ERC-20, y la UE considera multas bajo el DSA a NPM por "negligencia en moderación".

Económicamente, el hack podría costar 500 millones en pérdidas cripto. Socialmente, ha unido a devs en paranoia, con un 70 % cambiando wallets. Políticamente, presiona reguladores para auditorías obligatorias. Este worm no solo roba claves: roba la confianza en un Web3 que depende de código abierto.