Una extensión falsa de Chrome vacía una cartera con 200.000 euros en criptomonedas y compromete dos Mac
Elígenos como tu fuente preferida en Google.
Una extensión falsa de Chrome infectó dos Mac, robó contraseñas y permitió sustraer 200.000 euros en Ethereum antes de ser detectada por Claude.
Una extensión de Chrome que se hacía pasar por una herramienta legítima terminó convirtiéndose en una auténtica pesadilla para dos propietarios de Mac. El incidente acabó con el robo de 230.000 dólares (alrededor de 200.000 euros) en Ethereum de una de las víctimas y con el acceso no autorizado a contraseñas, códigos de verificación y cuentas personales en el segundo equipo.
El caso ha llamado la atención porque fue una herramienta basada en Claude la que detectó la presencia del software malicioso. Sin embargo, cuando se descubrió la infección, parte del daño ya estaba hecho y uno de los afectados ya había perdido el acceso a sus fondos en criptomonedas.
La extensión responsable utilizaba el mismo nombre que una aplicación legítima muy conocida, lo que facilitó que pasara desapercibida y terminara instalándose en los ordenadores afectados.
Una única extensión infectó dos Mac distintos
Según explica uno de los afectados, el problema comenzó con una versión falsa de Notion Web Clipper. Mientras que la extensión legítima acumulaba alrededor de un millón de usuarios, la copia maliciosa apenas contaba con una docena de instalaciones, aunque compartía exactamente el mismo nombre.
La sincronización de Chrome jugó además un papel clave en la propagación. Como el usuario tenía activada esta función, la extensión instalada en un equipo acabó apareciendo automáticamente en un segundo Mac al iniciar sesión con la misma cuenta del navegador.
Los dos ordenadores resultaron comprometidos. Uno de ellos, equipado con un chip M1 Pro, sufrió la extracción de las claves privadas almacenadas en la cartera MetaMask del navegador. Horas después, los atacantes utilizaron esa información para transferir aproximadamente 230.000 dólares en Ethereum a otra dirección.
Contraseñas, códigos 2FA y datos enviados a un servidor remoto
La situación no terminó ahí. En el segundo equipo, un MacBook Pro con chip M5 Pro, el malware consiguió acceder a las contraseñas guardadas en Safari y Chrome. También obtuvo los códigos de respaldo utilizados para la autenticación en dos pasos.
Además de recopilar credenciales, el software malicioso mantenía actividad en segundo plano y enviaba datos de ubicación en tiempo real desde los equipos comprometidos.