Investigadores de ciberseguridad de ReversingLabs descubrieron dos líneas de código malicioso incrustadas dentro de una actualización para ETHCode, un kit de herramientas de desarrollo de Ethereum de código abierto utilizado por aproximadamente 6,000 desarrolladores. El código malicioso se insertó a través de una solicitud de extracción en GitHub que pasó exitosamente por alto tanto revisiones de seguridad de inteligencia artificial como la supervisión humana antes de ser distribuido a sistemas de desarrolladores.
Qué saber:
- Un hacker sin historial previo en GitHub insertó malware en ETHCode a través de una solicitud de extracción de 43 commits que contenía 4,000 líneas actualizadas
- El código malicioso fue diseñado para descargar y ejecutar scripts que podrían potencialmente robar activos de criptomonedas o comprometer contratos inteligentes
- Tanto el revisor de IA de GitHub como el equipo de desarrollo no detectaron el ataque sofisticado, lo que genera preocupaciones sobre las prácticas de seguridad de código abierto
Detalles del ataque surgen a través de la investigación
La solicitud de extracción maliciosa fue enviada el 17 de junio por un usuario identificado como Airez299, quien no tenía un historial de contribuciones previo en la plataforma. Investigadores de ReversingLabs descubrieron que el atacante logró ocultar el código malicioso al darle un nombre similar a archivos existentes mientras ofuscaba la estructura real del código.
La primera línea de código malicioso fue diseñada para integrarse perfectamente con archivos legítimos. La segunda línea servía como un mecanismo de activación que finalmente crearía una función de PowerShell diseñada para descargar y ejecutar scripts por lotes desde servicios públicos de alojamiento de archivos.
Tanto el revisor automatizado de IA de GitHub como los miembros de 7finney, el grupo responsable de mantener ETHCode, analizaron la actualización masiva de código. Solo se solicitaron cambios menores durante el proceso de revisión, sin que ni los revisores humanos ni los sistemas automatizados marcaran el malware incrustado como sospechoso.
El impacto potencial alcanza miles de sistemas
ETHCode sirve como un conjunto completo de herramientas que permite a los desarrolladores de Ethereum construir e implementar contratos inteligentes compatibles con la Máquina Virtual Ethereum. La actualización comprometida se habría distribuido automáticamente a los sistemas de los usuarios a través de mecanismos de actualización estándar.
El investigador de ReversingLabs Petar Kirhmajer dijo a Decrypt que la firma no ha encontrado evidencia de que el código malicioso haya sido ejecutado realmente para robar tokens o datos. Sin embargo, el alcance potencial del ataque sigue siendo significativo dado el conjunto de usuarios de la herramienta.
"La solicitud de extracción pudo haberse extendido a miles de sistemas de desarrolladores," señaló Kirhmajer en el blog de investigación. ReversingLabs continúa investigando la funcionalidad exacta de los scripts descargados, operando bajo la suposición de que fueron "intencionados para robar activos de criptomonedas almacenados en la máquina de la víctima o, alternativamente, comprometer los contratos de Ethereum en desarrollo por los usuarios de la extensión."
El ataque representa un compromiso sofisticado de la cadena de suministro que aprovechó la confianza inherente en los procesos de desarrollo de código abierto.
Expertos de la industria advierten sobre vulnerabilidades generalizadas
El desarrollador de Ethereum y cofundador de NUMBER GROUP, Zak Cole, enfatizó que este tipo de ataque refleja los desafíos de seguridad más amplios que enfrenta el ecosistema de desarrollo de criptomonedas. Muchos desarrolladores instalan paquetes de código abierto sin realizar revisiones de seguridad exhaustivas.
"Es demasiado fácil para alguien introducir algo malicioso," dijo Cole a Decrypt. "Podría ser un paquete npm, una extensión del navegador, lo que sea."
La fuerte dependencia de la industria de las criptomonedas en el desarrollo de código abierto crea una superficie de ataque en expansión para actores maliciosos. Cole señaló incidentes recientes de alto perfil, incluyendo el exploit de Ledger Connect Kit de diciembre de 2023 y el malware descubierto en la biblioteca web3.js de Solana.
"Hay demasiado código y no suficientes ojos sobre él," agregó Cole. "La mayoría de la gente simplemente asume que algo es seguro porque es popular o ha estado por ahí un tiempo, pero eso no significa nada."
Cole señaló que la superficie de ataque abordable continúa expandiéndose a medida que más desarrolladores adoptan herramientas de código abierto. También destacó la participación de actores patrocinados por estados en estos ataques.
"Además, tenga en cuenta que hay almacenes enteros llenos de operativos de DPRK cuyo trabajo a tiempo completo es ejecutar estos exploits," dijo Cole.
Recomendaciones de seguridad para desarrolladores
A pesar de la naturaleza sofisticada del ataque, los expertos en seguridad creen que los compromisos exitosos siguen siendo relativamente raros. Kirhmajer estimó que "los intentos exitosos son muy raros" basado en su experiencia de investigación.
ReversingLabs recomienda que los desarrolladores verifiquen la identidad y el historial de contribuciones de los colaboradores de código antes de descargar o implementar actualizaciones. La firma también sugiere revisar los archivos package.json y declaraciones de dependencias similares para evaluar nuevas relaciones de código.
Cole abogó por medidas de seguridad adicionales, incluyendo el bloqueo de dependencias para evitar la inclusión automática de actualizaciones de código no probadas. Recomendó usar herramientas de escaneo automatizado que puedan identificar patrones de comportamiento sospechosos o perfiles de mantenedores cuestionables.
Los desarrolladores también deberían monitorear paquetes que cambian repentinamente de propietario o lanzan actualizaciones inesperadas. Cole enfatizó la importancia de mantener entornos separados para diferentes actividades de desarrollo.
"Tampoco ejecute herramientas de firma o billeteras en la misma máquina que utiliza para construir cosas," concluyó Cole. "Simplemente asuma que nada es seguro a menos que lo haya comprobado o lo haya aislado."
Reflexiones finales
Este incidente destaca los desafíos de seguridad en curso que enfrenta el desarrollo de criptomonedas de código abierto, donde atacantes sofisticados pueden explotar mecanismos de confianza para distribuir malware a miles de sistemas de desarrolladores. Aunque no hay evidencia de que el código malicioso se haya ejecutado con éxito, el ataque demuestra la necesidad de prácticas de seguridad mejoradas y procesos de verificación dentro del ecosistema de desarrollo de criptomonedas.