Hackers rusos roban $1 millón con extensiones falsas de MetaMask en operación a gran escala

El grupo cibercriminal ruso conocido como GreedyBear ha llevado a cabo una operación de robo de criptomonedas a escala industrial, comprometiendo más de $1 millón de víctimas desprevenidas mediante sofisticados ataques con extensiones de navegador. Investigadores de seguridad descubrieron la infraestructura del grupo distribuía 150 extensiones falsas de Firefox diseñadas para suplantar la auténtica wallet MetaMask.

Este vector de ataque representa una evolución significativa en malware enfocado en cripto, con los hackers burlando los protocolos de seguridad de extensiones de Mozilla mediante técnicas de ofuscación. Las extensiones maliciosas se distribuyeron a través de:

1. Portales de actualización falsos que imitaban canales oficiales
2. Foros de criptomonedas y sitios de tutoriales comprometidos
3. Campañas de publicidad maliciosa dirigidas a usuarios DeFi

Una vez instaladas, las extensiones ejecutaban un ataque en múltiples etapas:

• Interceptaban frases semilla durante la configuración inicial
• Reemplazaban direcciones legítimas durante transacciones
• Pescan credenciales adicionales mediante popups de autenticación falsos

'La escala y sofisticación sugiere una organización cibercriminal profesional con recursos importantes', señaló el analista de seguridad Mark Chen. 'Básicamente crearon una cadena de suministro de extensiones falsificadas.'

Paralelamente, ejecutivos reportan un aumento alarmante en 'wrench attacks' - robos físicos contra individuos con grandes tenencias de cripto. Según reportes, ocurre al menos un secuestro semanal en hubs cripto importantes.

Recomendaciones de seguridad:

1. Instalar extensiones solo desde tiendas oficiales
2. Verificar checksums antes de instalar
3. Usar wallets hardware para cantidades importantes
4. Activar autenticación multifactor en exchanges

La operación GreedyBear muestra la creciente profesionalización del cibercrimen enfocado en cripto, con tácticas de cadena de suministro antes vistas en ataques patrocinados por estados.