Volver al Blog
La Pesadilla de $8.5M de Trust Wallet: Dentro del Ataque Shai-Hulud a la Cadena de Suministro
Un paquete NPM comprometido llevó a una extensión maliciosa de Chrome que drenó $8.5M de más de 2,500 wallets. Así es como los ataques a la cadena de suministro amenazan a cada usuario cripto.
Miguel Treviño•
Resumen:
- El Ataque: Un paquete NPM malicioso ("Shai-Hulud 2.0") comprometió la extensión de Chrome de Trust Wallet, drenando $8.5M de más de 2,500 usuarios.
- La Vulnerabilidad: Los ataques a la cadena de suministro de software apuntan a las credenciales de GitHub y App Store de los desarrolladores, inyectando código malicioso directamente en software que se actualiza automáticamente.
- El Riesgo de las Extensiones: Las wallets basadas en navegador son particularmente vulnerables a la exfiltración debido a sus amplios permisos y actualizaciones automáticas fluidas (pero peligrosas).
- La Solución Zelf: El diseño mobile-first de Zelf y la autenticación con ZK Face Proof eliminan el almacenamiento de frases semilla por completo—previniendo la exfiltración incluso si ocurre un compromiso en la cadena de suministro.
La Nochebuena de 2025, alguien publicó una actualización maliciosa en la extensión de Chrome de Trust Wallet.
En días, más de $8.5 millones habían sido robados de más de 2,500 wallets. Las víctimas no hicieron nada malo—simplemente tenían una extensión de navegador que se actualizó automáticamente.
El Vector de Ataque
Este no fue un exploit de día cero ni un hackeo de contrato inteligente. Fue un ataque a la cadena de suministro dirigido al pipeline de desarrollo de software.
La cadena de eventos:
- Shai-Hulud 2.0: Un ataque masivo a la cadena de suministro comprometió miles de paquetes NPM
- Robo de credenciales: Los atacantes obtuvieron los secretos de GitHub de Trust Wallet y las claves API de Chrome Web Store
- Lanzamiento malicioso: La versión 2.68 fue publicada directamente en Chrome Web Store, evadiendo la revisión
- Exfiltración de frases semilla: El código malicioso enviaba silenciosamente datos de wallet a servidores controlados por los atacantes
Por Qué Esto Es Aterrador
Este ataque expuso una vulnerabilidad fundamental en el ecosistema cripto: la cadena de suministro de software.
Cada wallet cripto, exchange y protocolo DeFi depende de:
- Paquetes NPM (bibliotecas JavaScript)
- Repositorios GitHub (código fuente)
- Tiendas de extensiones de navegador (distribución)
- Pipelines CI/CD (builds automatizados)
Compromete cualquier eslabón en esa cadena, y puedes inyectar código malicioso en software usado por millones.
Qué Fue Robado
Los atacantes se llevaron:
- ~$3 millones en Bitcoin
- ~$3 millones en Ethereum
- $431 en Solana
- Cantidades adicionales en varias altcoins
Los fondos fueron rápidamente movidos a través de exchanges y puentes cross-chain. La mayoría nunca será recuperada.
La Respuesta de Trust Wallet
Para su crédito, Trust Wallet actuó rápidamente:
- Revocó todas las credenciales comprometidas
- Lanzó una versión limpia (2.69) en horas
- Anunció reembolso completo para usuarios afectados (respaldado por Binance)
- Publicó reportes detallados del incidente
CZ confirmó que Trust Wallet cubriría todas las pérdidas. Pero no todos los proyectos tienen los recursos de Binance.
El Problema Mayor
Este ataque podría haber sucedido a cualquier wallet basada en navegador:
- MetaMask
- Phantom
- Rabby
- Coinbase Wallet
Todas dependen de la misma cadena de suministro vulnerable. Todas se actualizan automáticamente por defecto. Todas almacenan datos sensibles que código malicioso podría exfiltrar.
Por Qué las Extensiones de Navegador Son Riesgosas
Las extensiones de navegador operan en un entorno particularmente peligroso:
- Permisos amplios: Pueden leer/modificar páginas web, acceder a almacenamiento, interceptar solicitudes
- Actualizaciones automáticas: Las nuevas versiones se despliegan automáticamente, a menudo sin conocimiento del usuario
- Exposición de cadena de suministro: Una sola dependencia comprometida afecta a todos los usuarios
- Sandboxing limitado: Las extensiones comparten contexto del navegador con sitios sensibles
Cada vez que instalas una wallet de extensión de navegador, estás confiando en:
- El equipo de desarrollo
- Cada dependencia que usan
- Cada mantenedor de esas dependencias
- El proceso de revisión de la tienda del navegador
- La seguridad de su infraestructura de despliegue
Eso es mucha confianza.
La Diferencia Zelf
Zelf aborda la seguridad de manera fundamentalmente diferente:
1. Superficie de Ataque Mínima
Nuestra arquitectura mobile-first reduce la exposición a la cadena de suministro. Las apps móviles tienen:
- Procesos de revisión de tienda de apps más estrictos
- Mejor sandboxing entre aplicaciones
- Sin actualización automática sin consentimiento del usuario (para actualizaciones críticas de seguridad)
2. Sin Almacenamiento de Frase Semilla
Si no hay frase semilla que exfiltrar, el código malicioso no puede robarla. La autenticación con ZK Face Proof significa:
- Nada sensible almacenado en el dispositivo que pueda ser extraído
- La autenticación sucede a través de pruebas criptográficas, no secretos almacenados
3. No-Exportabilidad Biométrica
Tu rostro no puede ser copiado y enviado a un servidor remoto (de forma utilizable). A diferencia de los secretos basados en texto, la autenticación biométrica está inherentemente vinculada a ti.
Lecciones para Cada Usuario Cripto
- Minimiza las extensiones de navegador: Cada extensión es una superficie de ataque
- Desactiva las actualizaciones automáticas para software crítico de seguridad
- Usa separación de hardware: Mantén tenencias serias fuera de wallets conectadas al navegador
- Verifica antes de confiar: Compara versiones de extensión con anuncios oficiales
- Considera alternativas: Wallets móviles con mejores modelos de seguridad
El Futuro de la Seguridad de Wallets
El incidente de Trust Wallet demuestra que "no-custodial" no significa "seguro." La autocustodia es tan segura como el software que la implementa.
La próxima generación de wallets necesita:
- Autenticación de conocimiento cero que no pueda ser exfiltrada
- Seguridad respaldada por hardware independiente de las cadenas de suministro de software
- Base de computación confiable mínima para reducir la superficie de ataque
Eso es exactamente lo que Zelf está construyendo.
seguridadtrust-walletcadena-de-suministronpmextension-navegador