Se han detectado cuatro paquetes maliciosos en el repositorio npm que fingen ser utilidades legítimas para desarrolladores de Ethereum. Estos paquetes simulan ser herramientas de cifrado o SDKs relacionados con Flashbots MEV.
Paquetes identificados
Los paquetes identificados son: @flashbotts/ethers-provider-bundle, flashbot-sdk-eth, sdk-ethers y gram-utilz. Algunos de ellos solo activan su función maliciosa en casos específicos, dificultando su detección.
Funcionalidad maliciosa
Integran código para robar datos sensibles como semillas y claves privadas. Utilizan métodos furtivos como el envío de semillas y claves mediante bots de Telegram o por SMTP con servicios como Mailtrap.
Riesgos asociados
El mayor riesgo reside en el robo de claves privadas y semillas. Un ataque exitoso puede causar pérdida inmediata e irreversible de criptoactivos. Permite manipulación de transacciones y acceso a información confidencial de los proyectos.
Afectados
Afecta a desarrolladores DeFi y operadores de bots MEV con grandes volúmenes de fondos en juego. El ecosistema de desarrollo Web3 en Ethereum vuelve a estar bajo amenaza tras la detección de estos npm packages maliciosos.
Disponibilidad
Las bibliotecas detectadas aún están disponibles en el repositorio oficial de npm. Los paquetes maliciosos suplantan proyectos populares como Flashbots.
Mitigaciones recomendadas
- Se recomienda la revisión urgente de dependencias npm en proyectos Web3 y DeFi.
- Eliminar estos paquetes (y sus variantes sospechosas) y auditando de inmediato la presencia de código no autorizado.
- Rotar inmediatamente las claves y semillas expuestas.
- Habilitar la monitorización de dependencias.
- Confiar solo en fuentes y autores oficiales verificando la identidad mediante firmas o referencias cruzadas.
- Considerar herramientas de seguridad para supply chain, como Socket o Snyk.