npm restringe los permisos de tokens para enfrentar ataques, pero expertos en seguridad Web3 cuestionan que las medidas son insuficientes
npm ha comenzado a restringir el acceso a tokens de alta autoridad para responder al reciente ataque de cadena de suministro "Mini Shai-Hulud" que afecta a desarrolladores de Web3. La plataforma revocó los tokens de acceso granular con permisos de escritura y solicitó a los usuarios que rotasen inmediatamente las claves, migrando al mecanismo de publicación Trusted Publishing.
La plataforma comienza a gestionar el problema
El objetivo directo de este ajuste es frenar la última oleada de propagación del malware. Los atacantes aprovecharon tokens con permisos de escritura para eludir la verificación en dos pasos, publicando paquetes maliciosos o contaminando versiones existentes en el registro de npm.
Sin embargo, varios investigadores de seguridad consideran que la reacción de npm es tardía y se limita principalmente a restringir la expansión posterior, sin abordar el código malicioso que ya ha infectado los dispositivos de desarrolladores.
Entornos infectados podrían seguir filtrando datos
Los investigadores señalan que la revocación de tokens puede reducir la aparición de nuevas versiones maliciosas, pero aporta poca ayuda a los entornos de desarrollo que ya han sido infectados. El gusano se incrusta en la configuración de IDEs y asistentes de IA, activándose repetidamente cuando los desarrolladores utilizan esas herramientas.
Esto implica que, aunque el desarrollador elimine archivos del proyecto o limpie los node_modules, el script malicioso podría volver a infectar el entorno en operaciones posteriores y seguir robando información sensible.
Las metas del ataque incluyen credenciales de nube y frases semilla de billeteras
Las descripciones públicas muestran que estos programas maliciosos no solo roban credenciales de desarrollo comunes, sino que también obtienen credenciales de servicios en nube AWS, frases semilla de billeteras de criptomonedas y otros datos de alto valor. Posteriormente, la información se filtra a través de la API oficial de GitHub, haciendo que el tráfico parezca actividad de desarrollo regular y dificultando la detección.
- El atacante controló la cuenta legítima de npm atool
- 637 versiones maliciosas publicadas en 27 minutos
- 323 paquetes involucrados, con 16 millones de descargas semanales aproximadamente
La comunidad de seguridad critica la reacción pasiva
Taylor Monahan, jefe de investigación de seguridad de MetaMask, y otros expertos comentaron que las acciones de la plataforma parecen enfocadas en cuantificar el problema, en vez de eliminar la infección. Otro investigador destacó que el bloqueo de acceso no sustituye al análisis y limpieza profunda del comportamiento malicioso.
Para los equipos de Web3, este incidente demuestra nuevamente que la cadena de herramientas de desarrollo se ha convertido en un punto de entrada de alto riesgo. Sobre todo, con la integración masiva de asistentes de código basados en IA en los flujos de trabajo diarios, una infección en la capa de configuración puede afectar más allá del proyecto individual.
Descargo de responsabilidad: El contenido de este artículo refleja únicamente la opinión del autor y no representa en modo alguno a la plataforma. Este artículo no se pretende servir de referencia para tomar decisiones de inversión.
También te puede gustar
La presión sobre las ganancias de Pfizer (PFE.US) se alivia: la fuerte demanda del portafolio de medicamentos antiguos impulsa la revisión al alza de la guía de ingresos para 2026, se suman 2.500 millones de dólares en recortes de costos.
Pfizer elevó sus previsiones de ventas debido a la fuerte demanda de su portafolio de medicamentos antiguos y planea recortar 2.500 millones de dólares adicionales en costos.
Preapertura en EE.UU. | Los futuros de los tres principales índices suben, el precio del petróleo sigue cayendo, las acciones de chips y comunicación óptica suben en la preapertura. SpaceX (SPCX.US) publicará su informe financiero después del cierre.
El 4 de agosto (martes), antes de la apertura del mercado, los futuros de los tres principales índices bursátiles estadounidenses subieron juntos.
¡El atractivo de los bonos del Tesoro de EE. UU. se desvanece! Los fondos mundiales se trasladan a la deuda europea y los bonos alemanes se convierten en el nuevo refugio seguro
A medida que los riesgos macroeconómicos globales se vuelven cada vez más complejos y difíciles de valorar, los bonos europeos están convirtiéndose gradualmente en la opción segura para los gestores de fondos.
Los ingresos de McDonald's en el segundo trimestre fueron de 7,1 mil millones de dólares, el EPS ajustado superó las expectativas y el crecimiento de ventas globales se desaceleró | Informe de resultados
Los ingresos de McDonald’s en el segundo trimestre de 2026 estuvieron ligeramente por debajo de lo esperado, con 7,12 mil millones de dólares, pero el beneficio ajustado por acción fue de 3,38 dólares, superando las expectativas con un crecimiento del 6%. El aumento de las ventas comparables a nivel global se desaceleró del 3,8% respecto al mismo periodo del año pasado a solo 1,3%, y en el mercado estadounidense apenas subió un 0,8%, con la afluencia de clientes bajo presión constante. La rentabilidad se vio afectada por gastos de reestructuración, aunque el sistema de miembros digitales se destacó como un punto positivo.
Precios de las criptos
Más
