Una familia de malware conocida como Sality, activa desde 2003, ha estado redirigiendo silenciosamente pagos en criptomonedas mediante la sustitución de direcciones de monederos en equipos infectados, según hallazgos detallados recientemente. La técnica, que afecta tanto a transacciones de Bitcoin como de Ethereum, lleva funcionando, según se informa, durante los últimos ocho años.
Sality no es una amenaza nueva. Surgió por primera vez hace más de dos décadas como un virus que infectaba archivos y desde entonces ha evolucionado a través de múltiples versiones, adaptándose a nuevas superficies de ataque a medida que iban apareciendo. La incorporación de la manipulación de monederos de criptomonedas representa una de sus capacidades más recientes y de mayores consecuencias económicas.
El mecanismo es sencillo pero eficaz: una vez comprometido un dispositivo, el malware vigila el portapapeles o el proceso de la transacción en busca de direcciones de monedero y las sustituye por direcciones controladas por los atacantes. Como las transacciones de criptomonedas son irreversibles una vez confirmadas en la cadena de bloques, las víctimas que no verifican cuidadosamente la dirección de destino antes de enviar los fondos no tienen forma de recuperar los pagos desviados.
Alcance de la infección
Más de 15.000 ordenadores han sido infectados por Sality, según las cifras citadas en la divulgación. La magnitud sugiere una operación persistente y de bajo perfil, más que una brecha aislada de gran repercusión, con infecciones que, al parecer, se han acumulado de forma constante a lo largo de los años en lugar de producirse en un pico repentino.
La elección de Bitcoin y Ethereum como objetivos no resulta sorprendente, dado su estatus como las dos criptomonedas más ampliamente poseídas y negociadas, lo que ofrece a los atacantes el mayor grupo posible de víctimas potenciales y la mayor liquidez para blanquear los fondos desviados.
Qué significa para los usuarios
La persistencia de programas maliciosos que sustituyen direcciones, como Sality, pone de relieve un punto débil recurrente en la seguridad de las criptomonedas: el momento en que un usuario copia y pega una dirección de monedero suele ser el de mayor vulnerabilidad, con independencia de lo segura que sea la propia cadena de bloques subyacente. Medidas básicas de higiene digital, como verificar manualmente los primeros y últimos caracteres de la dirección de destino antes de confirmar una transferencia, siguen siendo una de las pocas defensas eficaces frente a este tipo de ataque.
No se han revelado más detalles sobre la identidad de los responsables de la operación Sality, el valor total de los fondos desviados mediante este esquema, ni sobre las medidas concretas de contención que estén adoptando investigadores de seguridad o plataformas de criptomonedas en respuesta.
