npm restringe los permisos de tokens para enfrentar ataques, pero expertos en seguridad Web3 cuestionan que las medidas son insuficientes
npm ha comenzado a restringir el acceso a tokens de alta autoridad para responder al reciente ataque de cadena de suministro "Mini Shai-Hulud" que afecta a desarrolladores de Web3. La plataforma revocó los tokens de acceso granular con permisos de escritura y solicitó a los usuarios que rotasen inmediatamente las claves, migrando al mecanismo de publicación Trusted Publishing.
La plataforma comienza a gestionar el problema
El objetivo directo de este ajuste es frenar la última oleada de propagación del malware. Los atacantes aprovecharon tokens con permisos de escritura para eludir la verificación en dos pasos, publicando paquetes maliciosos o contaminando versiones existentes en el registro de npm.
Sin embargo, varios investigadores de seguridad consideran que la reacción de npm es tardía y se limita principalmente a restringir la expansión posterior, sin abordar el código malicioso que ya ha infectado los dispositivos de desarrolladores.
Entornos infectados podrían seguir filtrando datos
Los investigadores señalan que la revocación de tokens puede reducir la aparición de nuevas versiones maliciosas, pero aporta poca ayuda a los entornos de desarrollo que ya han sido infectados. El gusano se incrusta en la configuración de IDEs y asistentes de IA, activándose repetidamente cuando los desarrolladores utilizan esas herramientas.
Esto implica que, aunque el desarrollador elimine archivos del proyecto o limpie los node_modules, el script malicioso podría volver a infectar el entorno en operaciones posteriores y seguir robando información sensible.
Las metas del ataque incluyen credenciales de nube y frases semilla de billeteras
Las descripciones públicas muestran que estos programas maliciosos no solo roban credenciales de desarrollo comunes, sino que también obtienen credenciales de servicios en nube AWS, frases semilla de billeteras de criptomonedas y otros datos de alto valor. Posteriormente, la información se filtra a través de la API oficial de GitHub, haciendo que el tráfico parezca actividad de desarrollo regular y dificultando la detección.
- El atacante controló la cuenta legítima de npm atool
- 637 versiones maliciosas publicadas en 27 minutos
- 323 paquetes involucrados, con 16 millones de descargas semanales aproximadamente
La comunidad de seguridad critica la reacción pasiva
Taylor Monahan, jefe de investigación de seguridad de MetaMask, y otros expertos comentaron que las acciones de la plataforma parecen enfocadas en cuantificar el problema, en vez de eliminar la infección. Otro investigador destacó que el bloqueo de acceso no sustituye al análisis y limpieza profunda del comportamiento malicioso.
Para los equipos de Web3, este incidente demuestra nuevamente que la cadena de herramientas de desarrollo se ha convertido en un punto de entrada de alto riesgo. Sobre todo, con la integración masiva de asistentes de código basados en IA en los flujos de trabajo diarios, una infección en la capa de configuración puede afectar más allá del proyecto individual.
Descargo de responsabilidad: El contenido de este artículo refleja únicamente la opinión del autor y no representa en modo alguno a la plataforma. Este artículo no se pretende servir de referencia para tomar decisiones de inversión.
También te puede gustar
Turquía adopta medidas de emergencia por varios frentes: liquidación de fondos por casi 20 mil millones de dólares, arresto de altos ejecutivos y prohibición de operaciones.
El ministro de Finanzas de Turquía afirmó que los riesgos son "temporales y controlables". Los reguladores liquidarán más de cien fondos gestionados por siete compañías de gestión de activos, lo que afecta a más de 350.000 inversores; además, presentaron cargos penales contra 38 personas y les impusieron una prohibición de operar durante dos años. Varios altos ejecutivos de instituciones financieras fueron arrestados, detenidos o tienen restringida la salida del país. El banco central aumentó la escala de financiamiento de recompra, relajó los requisitos de capital bancario y elevó el límite de préstamos en el mercado interbancario a diez veces su margen previo. El índice bancario turco llegó a subir más del 9% el jueves, mientras que numerosas acciones de mediana y baja capitalización siguieron cayendo.
Huang Renxun: Las ventas de chips de Nvidia el próximo año serán el doble que este año, y no se puede regular la inteligencia artificial como se regula las redes sociales.
Huang Renxun se opone a aplicar la misma regulación que en las redes sociales, porque las redes sociales son un producto, mientras que la inteligencia artificial es una tecnología fundamental que sostiene otros productos y tecnologías. Él sostiene que la regulación debe enfocarse en los productos, no en la tecnología en sí. Además, enfatiza la importancia de pruebas rigurosas y afirma que si un producto no es lo suficientemente seguro, su lanzamiento debe postergarse. “La seguridad en la inteligencia artificial es crucial”.
¿Qué comprar después de que la Reserva Federal suba las tasas de interés? Históricamente, en Wall Street, la energía y la tecnología superan al mercado, mientras que el sector inmobiliario queda rezagado. Goldman Sachs: lo que determina el comportamiento de las acciones estadounidenses es la velocidad de las subas de tasas.
Rendimiento de las acciones estadounidenses en los 12 meses posteriores a la primera suba de tasas de interés de la Reserva Federal: según Jefferies, el sector energético lidera con un retorno promedio del 22,4%, seguido por tecnología de la información con 15,4%. De acuerdo a Charles Schwab, el sector inmobiliario quedó un 4,3% rezagado frente al S&P 500, siendo el peor de los 11 sectores. Goldman Sachs señala que la velocidad de las subas de tasas es la variable clave para las acciones de Estados Unidos y que, por el momento, si el rendimiento de los bonos del Tesoro a 10 años sube 50 puntos básicos en un mes, esto generaría una presión de “suba rápida de tasas”.
Precios de las criptos
Más
