Los hackers obtuvieron acceso a la cuenta de un desarrollador que mantiene el popular conjunto de herramientas de software keyv, utilizado por millones de programadores en todo el mundo. A través de este acceso, los atacantes introdujeron un virus en las nuevas versiones de las herramientas, según informaron expertos en ciberseguridad de Aikido Security. El ataque comenzó el 4 de agosto de 2026 y se convirtió en uno de los mayores de los últimos años: cientos de paquetes de software, utilizados más de 2 mil millones de veces al mes, estuvieron en peligro.
Cómo se infectaban los ordenadores
Todos los programadores utilizan repositorios especiales con fragmentos de código predefinidos, una especie de bibliotecas desde las que se puede descargar una solución lista para usar en lugar de escribirla desde cero. Para JavaScript, este repositorio se llama npm, y el comando para descargar es npm install.
Los hackers ocultaron en la actualización de la biblioteca una línea de código que iniciaba automáticamente la descarga del virus, justo después de que el programador introdujera el comando habitual de instalación. No era necesario realizar ninguna acción sospechosa: la infección ocurría por sí sola, como parte del trabajo rutinario.
Qué buscaba el virus en los ordenadores infectados
Una vez en el ordenador, el programa malicioso comenzaba a buscar todo lo más valioso:
- contraseñas y códigos de acceso al repositorio de programas (npm)
- códigos de acceso a cuentas en GitHub, el servicio para almacenar código fuente
- datos de acceso a los servicios en la nube de Amazon (AWS)
- claves secretas de la infraestructura de servidores de empresas
- claves para acceso remoto a servidores (SSH)
- archivos con contraseñas guardadas (programa KeePass)
- configuraciones de programas populares para escribir código, incluidos Claude, VS Code y otros
- archivos de carteras de criptomonedas, incluidas carteras para Solana y Monero
- frases semilla (seed phrases) y claves privadas
Todo lo encontrado, el virus lo cifraba y lo enviaba a los hackers: parte de los datos se subía a repositorios públicos en GitHub con el revelador nombre «Shai-Hulud: de vuelta aquí», y otra parte a un servidor especial, cuya dirección el virus obtenía a través de un contrato inteligente en la red Ethereum, lo que dificultaba su bloqueo.
El virus se replicaba solo
Lo más peligroso es que el virus no se detenía en una sola biblioteca. Utilizando las contraseñas robadas, infectaba de forma autónoma otras herramientas populares: publicaba a nombre de desarrolladores legítimos nuevas «actualizaciones» que incluían la misma línea de código maliciosa, y luego las ponía a disposición pública. Simultáneamente, el virus se ocultaba más profundamente en el sistema, para que fuera más difícil eliminarlo por completo.
Cuántos programas ya están infectados
Según datos de Aikido Security al 5 de agosto de 2026, están infectados al menos 444 paquetes de software (1,381 versiones). En el informe de la empresa Orca Security se menciona una cifra de alrededor de 868 paquetes. Entre ellos se encuentran varias herramientas utilizadas por decenas de miles de otros desarrolladores en todo el mundo para acelerar y simplificar la escritura de código.
Por qué esto es especialmente peligroso para la industria cripto
Si el virus llega al ordenador de un desarrollador que trabaja en un proyecto cripto, las consecuencias pueden ser mucho más graves que una simple filtración de contraseñas. A través del ordenador infectado, los hackers obtienen acceso a frases secretas de carteras, claves de exchanges, cuentas de GitHub y servidores de la empresa, como explicaron en Orca Security. Después, es solo cuestión de técnica: acceso al código del proyecto, acceso a los servidores y, luego, un hackeo completo. Así es como comenzaron muchos de los grandes robos de criptomonedas en los últimos años.
Esta historia demuestra que uno puede infectarse incluso con las acciones más comunes, como simplemente instalar una herramienta necesaria para el trabajo. Para los equipos que trabajan con criptomonedas y carteras, es una razón adicional para verificar cuidadosamente qué programas utilizan y actualizarlos oportunamente una vez que se resuelva el problema.
Opinión de IA
Desde el punto de vista del análisis de datos automatizado, el incidente actual no es un caso aislado, sino la tercera oleada de la misma campaña: el gusano Shai-Hulud se detectó por primera vez en septiembre de 2025, tras lo cual, en noviembre, siguió una segunda oleada «Shai-Hulud 2.0», que afectó a más de 25,000 repositorios. Tal regularidad en menos de un año apunta a un problema sistémico de confianza dentro del ecosistema npm, y no a un error puntual de un solo desarrollador.
end-content
