Alerta de seguridad: Robo de claves privadas a través de dependencias comprometidas en GitHub

Se ha detectado una grave alerta de seguridad que afecta a desarrolladores en la plataforma GitHub. El proyecto polymarket-copy-trading-bot ha sido comprometido con código malicioso que sustrae las claves privadas de las wallets de los usuarios de forma automática durante la inicialización de la aplicación. Este incidente representa una amenaza significativa para anyone que haya instalado o utilizado este repositorio.

Cómo se produce el robo de claves

El mecanismo de ataque es sofisticado pero efectivo. Cuando el programa se inicia, el código malicioso extrae automáticamente la clave privada almacenada en el archivo .env del usuario. Esta información sensible es posteriormente exfiltrada a servidores controlados por los atacantes a través de un paquete de dependencia aparentemente legítimo: @easynode/ethers-utils.

El ataque aprovecha la confianza que depositan los desarrolladores en las librerías de npm. Al integrar esta dependencia comprometida, el código malicioso se ejecuta silenciosamente sin que el usuario lo perciba, robando sus credenciales cryptográficas más valiosas.

Identificación del código malicioso

El paquete malicioso utilizado en este ataque se identifica como @easynode/ethers-utils. Su objetivo principal es interceptar la clave privada antes de que sea utilizada por la aplicación legítima. Una vez robada, la información se transmite de forma encriptada a los servidores de los atacantes, permitiéndoles acceder completamente a los activos digitales de la víctima.

Esta táctica de inyección de código en dependencias es particularmente peligrosa porque muchos desarrolladores no revisan el código fuente de todas sus librerías importadas, lo que facilita la propagación de amenazas de seguridad.

Recomendaciones para proteger tus activos

Si has utilizado el proyecto polymarket-copy-trading-bot, es esencial actuar inmediatamente. Primero, detén todas las instancias del programa y revisa tus archivos .env para verificar si tus claves privadas han sido comprometidas. Considera que cualquier wallet vinculada a esas credenciales podría estar en riesgo.

Como medida preventiva adicional, antes de instalar cualquier paquete npm, verifica su reputación, revisor el historial de actualizaciones y las dependencias incluidas. Utiliza herramientas de análisis de seguridad que puedan detectar código malicioso en dependencias antes de ejecutarlas en tu entorno local.

Esta alerta de seguridad subraya la importancia de mantener prácticas robustas de gestión de secretos y verificación de código en proyectos de desarrollo. La comunidad de GitHub debe permanecer vigilante ante amenazas similares de compromiso de dependencias.