Seguridad: Extensión de Chrome para billetera Ethereum

Investigadores de ciberseguridad han identificado una peligrosa extensión de Chrome que se hace pasar por una billetera Ethereum legítima. Llamada Safery: Ethereum Wallet, la extensión afirma ofrecer una "billetera segura para gestionar la criptomoneda Ethereum con configuraciones flexibles". Se subió por primera vez a la Chrome Web Store el 29 de septiembre de 2025 y su última actualización fue el 12 de noviembre. A pesar de su apariencia como una billetera Ethereum (ETH) simple y segura, oculta un malware sofisticado diseñado para robar las frases semilla de los usuarios.

Cómo funciona el malware

La extensión maliciosa contiene una puerta trasera que extrae frases mnemotécnicas de monederos codificándolas en direcciones Sui falsas. A continuación, difunde microtransacciones desde un monedero Sui controlado por el atacante, lo que le permite extraer información confidencial sin necesidad de un servidor de comando y control (C2) tradicional.

El flujo de trabajo es el siguiente:

• La extensión codifica la frase semilla del usuario como una dirección Sui.
• Envía pequeñas microtransacciones (0,000001 SUI) a estas direcciones falsas desde la billetera del atacante.
• El atacante monitoriza la cadena de bloques y descifra las direcciones de los destinatarios para reconstruir las frases semilla originales.
• Una vez reconstruido, el atacante puede vaciar los fondos de la víctima de su cartera.

Este método permite al atacante introducir de contrabando datos confidenciales a través de transacciones blockchain aparentemente normales, eludiendo los mecanismos de detección tradicionales.

Desafíos en la detección de amenazas

Esta técnica de ataque es particularmente sigilosa porque permite a los atacantes cambiar fácilmente de cadena de bloques y de punto de conexión RPC. En consecuencia, las defensas que se basan únicamente en dominios, URL o identificadores de extensión específicos pueden fallar. Las llamadas RPC inesperadas a la cadena de bloques desde el navegador, especialmente cuando el producto afirma operar en una sola cadena, deben considerarse señales de alto riesgo.

Estrategias de mitigación recomendadas

Para protegerse contra esta amenaza, los expertos en ciberseguridad recomiendan las siguientes precauciones:

Para los usuarios : Instalen únicamente extensiones de billetera de fuentes confiables y verificadas. Eviten las extensiones recién publicadas o con pocas reseñas.

Para los defensores : Analicen las extensiones del navegador en busca de comportamientos maliciosos, como codificadores de frases mnemotécnicas, generadores de direcciones sintéticas y frases semilla codificadas. Bloqueen cualquier extensión que intente escribir transacciones en la cadena de bloques durante la creación o importación de la cartera.

Aplicando estas precauciones, tanto los usuarios finales como los equipos de seguridad pueden reducir significativamente el riesgo de robo de la frase semilla y de retiradas de fondos no autorizadas.