Ataque a la cadena de suministro

Las billeteras y dApps actuales se montan con cientos de piezas de terceros: paquetes de código abierto de registros como npm, kits de conexión de billeteras, scripts de analítica, servidores de compilación, servicios en la nube y componentes de hardware. En este tipo de ataque, el atacante no rompe el objetivo directamente, sino que envenena una de esas piezas, a menudo engañando a un mantenedor o robando un token de publicación. Todo proyecto que descarga la actualización contaminada distribuye después el código malicioso.

El sector cripto acumula varios casos. En diciembre de 2023, una versión comprometida de la librería Connect Kit de Ledger inyectó durante unas horas un drainer en las dApps que la usaban. En septiembre de 2025 se secuestraron paquetes populares de npm con código que alteraba transacciones cripto en el navegador. Y el robo a Bybit de febrero de 2025, atribuido al grupo norcoreano Lazarus, empezó con el equipo comprometido de un desarrollador del proveedor de multisig cuya interfaz usaban los firmantes del exchange.

Son difíciles de detectar porque el código llega desde una fuente en la que todos confían. Ayudan fijar y revisar las versiones de las dependencias, las compilaciones reproducibles, firmar las publicaciones, limitar quién puede publicar y usar billeteras que muestren la transacción de forma legible para cazar una interfaz manipulada al firmar.