Nuevo ataque en Linux apunta a la Snap Store para robar frases semilla de criptomonedas
La firma de seguridad blockchain SlowMist ha alertado sobre un sofisticado ataque dirigido a usuarios de Linux. Los ciberdelincuentes están secuestrando cuentas legítimas de desarrolladores en la Snap Store —la tienda de aplicaciones oficial del sistema— para distribuir actualizaciones maliciosas que suplantan carteras de criptomonedas populares. El objetivo final es engañar a los usuarios para que introduzcan sus frases de recuperación, permitiendo el robo de fondos.
El mecanismo del ataque: secuestro mediante dominios expirados
Este ataque explota un punto débil en el proceso de verificación de la Snap Store, la plataforma de distribución de software en formato “snap” para distribuciones Linux. El método no compromete la seguridad de la tienda en sí, sino cuentas específicas de desarrolladores o “publicadores”.
El punto débil: dominios que caducan
La técnica, detallada por el director de seguridad de la información de SlowMist, conocido como “23pds”, se basa en el secuestro de cuentas de publicador. Los atacantes monitorean cuentas vinculadas a dominios web que están por expirar. Una vez que el dominio caduca, lo vuelven a registrar, obteniendo así acceso a las direcciones de correo electrónico asociadas. Esto les permite solicitar un restablecimiento de contraseña y tomar el control de la cuenta en la Snap Store.
Este proceso permite tomar control silenciosamente de cuentas con historial y usuarios activos
explicó 23pds a través de la red social X.
Las aplicaciones comprometidas y su modus operandi
Una vez en control de la cuenta, los atacantes modifican las aplicaciones existentes o publican nuevas, suplantando software legítimo.
Suplantación de carteras reconocidas
El objetivo principal son carteras de criptomonedas ampliamente utilizadas. SlowMist confirmó que los atacantes han distribuido versiones falsas de aplicaciones populares como Exodus, Ledger Live y Trust Wallet. Estas aplicaciones maliciosas poseen interfaces visuales casi idénticas a las legítimas, lo que aumenta significativamente la probabilidad de engaño.
Cómo se produce el robo
El modus operandi es directo: tras instalar o aceptar una actualización de la aplicación comprometida, esta solicita al usuario que ingrese su frase de recuperación o “seed phrase”. Una vez introducidas, estas credenciales son exfiltradas directamente a los servidores controlados por los atacantes, quienes pueden entonces acceder y drenar todos los fondos asociados a esa frase semilla.
Dominios confirmados como comprometidos
SlowMist ha identificado al menos dos dominios específicos utilizados en esta campaña: storewise[.]tech y vagueentertainment[.]com. Las aplicaciones vinculadas a estas cuentas de publicador fueron las modificadas para albergar el software malicioso.
Contexto más amplio: la creciente amenaza de los ataques a la cadena de suministro
Este incidente no es aislado, sino que se enmarca en una tendencia alarmante dentro de la ciberseguridad cripto: el auge de los ataques a la cadena de suministro o “supply-chain attacks”.
Cambio en la estrategia de los atacantes
Los atacantes están desplazando su foco. Ante la mejora en la seguridad de los contratos inteligentes y protocolos, ahora apuntan a la infraestructura y los canales de distribución de software. Un ataque a la cadena de suministro busca comprometer un componente legítimo (como una cuenta de desarrollador) para propagar malware a través de actualizaciones aparentemente normales, aprovechando la confianza de los usuarios.
Datos que reflejan la tendencia
Las cifras respaldan esta tendencia. De acuerdo con datos del informe de CertiK compartidos con Cointelegraph en diciembre de 2025, las pérdidas totales por hackeos en el ecosistema cripto durante ese año ascendieron a 3.3 mil millones de dólares. Aunque el número total de incidentes disminuyó, la severidad de los ataques más grandes aumentó. Destaca que aproximadamente 1.45 mil millones de dólares de esas pérdidas se atribuyeron únicamente a dos grandes incidentes de cadena de suministro, demostrando el impacto desproporcionado de este tipo de ataques.
Recomendaciones y conclusión
Frente a esta amenaza, los expertos enfatizan medidas de precaución críticas.
Medidas de precaución para usuarios
La regla fundamental es clara: nunca introduzca su frase de recuperación de 12 o 24 palabras en una aplicación que lo solicite tras una actualización rutinaria. Una cartera legítima solo pedirá esta frase durante el proceso inicial de configuración o una recuperación deliberada.
Se recomienda descargar software de criptomonedas exclusivamente desde los sitios web oficiales de los proyectos, incluso cuando se utilice Linux y tiendas como Snap Store. Es crucial verificar meticulosamente el nombre del publicador, su sitio web y las reseñas de cualquier aplicación, especialmente las relacionadas con finanzas. Para una seguridad óptima, el uso de carteras de hardware para almacenar cantidades significativas de criptoactivos sigue siendo la mejor práctica.
Reflexión final
Este caso subraya la sofisticación creciente de las amenazas cibernéticas en el espacio cripto, que ahora apuntan estratégicamente a los eslabones de confianza en la cadena de distribución de software. La alerta temprana de firmas de seguridad como SlowMist es vital para contener estos vectores de ataque complejos y proteger a los usuarios.
