NPM Hack: 2.6B Paquetes en Peligro

security 18 paquetes npm comprometidos con malware para robar criptomonedas. El mayor ataque a la cadena de suministro JavaScript.

El 8 de septiembre de 2025, el mundo del desarrollo web se estremeció ante lo que se ha convertido en el mayor ataque a la cadena de suministro de JavaScript hasta la fecha. Dieciocho paquetes populares de npm, con más de 2.6 mil millones de descargas semanales combinadas, fueron comprometidos con código malicioso diseñado para robar criptomonedas.

El ataque fue detectado y contenido rápidamente gracias a la vigilancia de Aikido Security, una firma belga especializada en seguridad de código abierto. Sin embargo, el incidente expone vulnerabilidades críticas en nuestra dependencia del software de código abierto y la cadena de suministro digital que sustenta gran parte de nuestra economía y sociedad.

Este artículo examina en detalle cómo ocurrió el ataque, qué paquetes fueron afectados, cómo funcionaba el código malicioso, quién podría estar detrás y qué lecciones podemos aprender para fortalecer la seguridad de nuestra infraestructura digital.

phishing Detalles del Ataque: ¿Cómo Ocurrió?

El ataque comenzó con una campaña de phishing dirigida específicamente a Josh Junon, un desarrollador responsable del mantenimiento de varios paquetes npm muy populares. Los atacantes enviaron un correo electrónico suplantando al equipo de soporte de npm, informando que necesitaba actualizar sus credenciales de autenticación de dos factores (2FA).

El proceso de compromiso

Una vez que Junon hizo clic en el enlace del correo electrónico, fue dirigido a un sitio de phishing que imitaba perfectamente la página de inicio de sesión de npm. Allí, introdujo sus credenciales y el token de un solo uso para su autenticación de dos factores, que fue interceptado inmediatamente por los atacantes.

Con acceso a la cuenta de npm de Junon, los atacantes cambiaron el correo electrónico asociado a la cuenta, bloqueando efectivamente al legítimo propietario. Luego, procedieron a publicar versiones maliciosas de 18 paquetes diferentes, todos ellos mantenedos por Junon.

"Parece y se siente un poco como un ataque dirigido. Lo siento a todos, muy vergonzoso." - Josh Junon, desarrollador afectado

code Paquetes Afectados: La Magnitud del Problema

Los atacantes comprometieron un total de 18 paquetes npm, todos ellos mantenedos por Josh Junon. Estos paquetes, colectivamente, suman más de 2.6 mil millones de descargas semanales, lo que subraya la escala masiva de este ataque a la cadena de suministro.

Impacto en cascada

Lo que hace particularmente peligroso este ataque es que muchos de estos paquetes son dependencias de otros paquetes, creando un efecto cascada. Por ejemplo, chalk depende de ansi-styles, y muchos otros paquetes populares dependen de chalk. Esto significa que una sola inyección de código malicioso puede propagarse rápidamente a través de miles de proyectos diferentes.

Afortunadamente, el ataque fue detectado rápidamente por Aikido Security, que monitorea continuamente las actualizaciones de código en repositorios de código abierto importantes. La compañía notificó al desarrollador afectado a través de la red social Bluesky, y Junon respondió rápidamente que era consciente de haber sido víctima de phishing y ya estaba trabajando para limpiar los paquetes comprometidos.

bug_report El Código Malicioso: Objetivo y Funcionamiento

Los atacantes inyectaron un código malicioso sofisticado en los archivos index.js de los paquetes comprometidos. Este código estaba diseñado específicamente para interceptar transacciones de criptomonedas en los navegadores de los usuarios, redirigiendo fondos a direcciones controladas por los atacantes sin que los usuarios se dieran cuenta.

Técnicas de evasión

El código malicioso estaba ofuscado para dificultar su detección y análisis. Utilizaba técnicas de ofuscación como:

Direcciones de criptomonedas objetivo

El código malicioso contenía una larga lista de direcciones de criptomonedas a las que redirigir los fondos robados. Estas incluían:

"Este malware es esencialmente un interceptor basado en navegador que secuestra tanto el tráfico de red como las API de la aplicación. Lo que lo hace peligroso es que opera en múltiples niveles: alterando contenido mostrado en sitios web, manipulando llamadas a la API y manipulando lo que las aplicaciones de los usuarios creen que están firmando." - Charlie Eriksen, investigador de Aikido Security

person_search Posibles Responsables: El Grupo Lazarus

Aunque ningún grupo ha reclamado oficialmente la responsabilidad del ataque, varios expertos en ciberseguridad señalan similitudes con las tácticas utilizadas por el grupo Lazarus, una organización de hackers respaldada por Corea del Norte conocida por sus sofisticados ataques a la cadena de suministro de software y su interés en el robo de criptomonedas.

Evidencia circunstancial

Varios factores apuntan hacia la posible implicación de Lazarus en este ataque:

"La toma de control de paquetes es ahora una táctica estándar para grupos de amenazas persistentes avanzadas como Lazarus, porque saben que pueden llegar a una gran cantidad de la población de desarrolladores infiltrándose en un solo proyecto con pocos recursos." - Ilkka Turunen, Field CTO de Sonatype Inc.

healing Respuesta y Contención: Limitando el Daño

A pesar de la escala masiva del ataque, la respuesta rápida y coordinada de la comunidad de seguridad y el desarrollador afectado logró limitar significativamente el daño potencial. La detección temprana fue clave para evitar consecuencias más graves.

Colaboración de la comunidad

Uno de los aspectos más destacados de la respuesta a este incidente fue la colaboración entre diferentes actores del ecosistema de seguridad y desarrollo de software. Además de Aikido Security y el desarrollador afectado, varias empresas y organizaciones jugaron un papel crucial en la contención del ataque:

"Innumerables sitios web esquivaron una bala porque este incidente se manejó en cuestión de horas. Como ejemplo de cómo estos ataques a la cadena de suministro pueden escalar rápidamente, podríamos mirar otros compromisos de desarrolladores de npm que han tenido consecuencias mucho más graves." - Charlie Eriksen, investigador de Aikido Security

shield Medidas de Seguridad: Protegiendo la Cadena de Suministro

Este ataque ha puesto de manifiesto la necesidad crítica de fortalecer la seguridad en toda la cadena de suministro de software. A continuación, se presentan algunas medidas clave que desarrolladores, empresas y plataformas pueden implementar para protegerse contra amenazas similares.

Verificación de paquetes

Los desarrolladores y empresas deben implementar procesos rigurosos para verificar la integridad de los paquetes que utilizan:

Mejoras en las plataformas

Las plataformas como npm y GitHub también tienen un papel crucial que jugar en la prevención de futuros ataques:

"NPM solo debería admitir autenticación a prueba de phishing. Toda la infraestructura crítica necesita usar 2FA a prueba de phishing, y dadas las dependencias en el software moderno, archivos como NPM son absolutamente infraestructura crítica." - Nicholas Weaver, investigador del International Computer Science Institute

insights Implicaciones: Lecciones para el Ecosistema JavaScript

El ataque masivo a los paquetes npm tiene implicaciones profundas para todo el ecosistema de desarrollo de software. Más allá de las medidas de seguridad inmediatas, este incidente nos obliga a reflexionar sobre cuestiones fundamentales relacionadas con nuestra dependencia del software de código abierto y la distribución de responsabilidades en la cadena de suministro digital.

El modelo de sostenibilidad

Este ataque plantea preguntas urgentes sobre la sostenibilidad del modelo actual de desarrollo de software de código abierto. Como señaló acertadamente Kevin Beaumont, experto en seguridad:

Necesidad de un cambio sistémico

Para abordar estos desafíos de manera efectiva, se necesitan cambios sistémicos en múltiples niveles:

"Este incidente representa un momento decisivo en la seguridad de la cadena de suministro de software. Los atacantes no necesitaron romper servidores o evadir defensas técnicas; simplemente secuestraron la cuenta legítima de un mantenedor a través de una campaña de phishing dirigida. Eso solo les dio las llaves a un vasto reino del software." - Ensar Seker, CISO de SOCRadar Cyber Intelligence Inc.

En última instancia, el ataque a los paquetes npm no es solo un incidente de seguridad aislado, sino un síntoma de problemas más profundos en nuestra infraestructura digital. A medida que avanzamos hacia una economía y sociedad cada vez más digitalizadas, debemos abordar estas vulnerabilidades fundamentales para construir un ecosistema tecnológico más seguro y resiliente para el futuro.