Extensiones maliciosas para Google Chrome han comprometido las criptomonedas de al menos 80.000 usuarios. El hallazgo se suma a una serie de campañas ya documentadas contra la tienda de complementos del navegador, en las que atacantes han suplantado billeteras digitales o secuestrado extensiones legítimas para robar credenciales y vaciar fondos. Os explicamos cómo han operado estos ataques y qué medidas reducen el riesgo de caer en ellos.
El patrón identificado combina dos vías distintas de ataque. Por un lado, los delincuentes crean extensiones que imitan aplicaciones de billeteras de criptomonedas ya conocidas, buscando que la víctima las confunda con las originales. Por otro lado, recurren al compromiso de la cadena de suministro: toman el control de cuentas de desarrolladores legítimos y distribuyen actualizaciones con código malicioso a extensiones que ya contaban con millones de usuarios instalados, sin que estos perciban ningún cambio visible en el complemento.
El secuestro de 16 extensiones legítimas para Chrome
Una investigación de ciberseguridad identificó al menos 16 extensiones de Chrome, hasta entonces consideradas seguras, que fueron modificadas por atacantes después de acceder a las cuentas de sus desarrolladores. El fraude, detectado entre 2020 y 2021, afectó a 3,2 millones de usuarios sin que estos se percataran del cambio, porque las actualizaciones llegaban de forma automática desde el canal oficial de cada complemento.
Entre las herramientas comprometidas figuraban Blipshot, Emoji Keyboard, WAToolkit, Color Changer for YouTube, Video Effects for YouTube and Audio Enhancer, Page Refresh, Wistia Video Downloader, Super Dark Mode y varios bloqueadores de anuncios, entre ellos Adblock für Chrome. El código insertado permitía recolectar datos de navegación, modificar resultados de búsqueda e insertar anuncios fraudulentos en las páginas visitadas, aprovechando los permisos que los propios usuarios habían concedido al instalar la extensión original antes de que fuera manipulada.
Este tipo de ataque resulta especialmente difícil de detectar porque el complemento mantiene su nombre, su icono y su función original: solo cambia el código que se ejecuta en segundo plano.
Google retiró en 2020 decenas de extensiones parecidas
Google eliminó en 2020 un total de 49 extensiones de Chrome que suplantaban aplicaciones de billeteras de criptomonedas muy extendidas, entre ellas Ledger, Trezor, Jaxx, Electrum, MyEtherWallet y Exodus. Estas extensiones se presentaban como versiones oficiales de esas herramientas para facilitar el robo de credenciales de acceso a los fondos guardados en cada cartera.
El riesgo de este tipo de suplantación es mayor que en un robo de contraseña convencional: quien controla la clave privada o la frase de recuperación de una billetera de criptomonedas controla también, de forma irreversible, los fondos asociados a ella. A diferencia de una tarjeta bancaria, no existe una entidad que pueda revertir la operación una vez que los activos han salido de la cartera original, lo que convierte a estas extensiones falsas en uno de los vectores de ataque más lucrativos para quienes se dedican al robo de criptoactivos. Google retiró las 49 extensiones de su tienda tras detectar el patrón, aunque el episodio ilustra la dificultad de filtrar este tipo de complementos antes de que lleguen a miles de usuarios.
Qué conviene revisar antes de instalar en el navegador
Antes de instalar cualquier extensión conviene revisar qué permisos solicita: si un complemento pide acceso a todas las páginas web o a los datos de navegación sin que su función lo justifique, lo razonable es descartarlo. También ayuda comprobar quién es el desarrollador y leer los comentarios más recientes, no solo la valoración media, porque un cambio brusco en las reseñas suele avisar de que algo ha cambiado en el complemento.
Mantener el navegador actualizado y eliminar las extensiones que ya no se usan reduce la superficie de ataque disponible para este tipo de campañas. Estas recomendaciones no eliminan el riesgo por completo, porque tanto las wallets falsas como los ataques a la cadena de suministro pueden pasar los controles automáticos de la tienda durante un tiempo antes de ser detectados, pero limitan la exposición de quienes gestionan criptomonedas desde el navegador. Revisar periódicamente la lista de extensiones instaladas, aunque parezca un gesto menor, sigue siendo la medida más accesible para detectar a tiempo un complemento que ha empezado a comportarse de forma distinta a la esperada.