Ethereum se vuelve un canal de infección con la reaparición del malware PolinRider en npm
Elígenos como tu fuente preferida en Google.
Sonatype detecta 12 entes maliciosos capaces de descargar y ejecutar código remoto dentro de entornos de Node.js utilizando transacciones de Ethereum con PolinRider.
Los malware para criptomonedas no cesan y llegan cada vez más casos de infección que van desde webs de WordPress maliciosas hasta extensiones que suplantan herramientas como MinerBlock. Ahora, una nueva amenaza cibernética es advertida por parte de los investigadores de Sonatype, los cuales han detectado una campaña vinculada a PolinRider que utiliza paquetes npm comprometidos para distribuir código malicioso a desarrolladores y grandes organizaciones junto a JavaScript.
Los ciberdelincuentes se están centrando en la red Ethereum, llevando a cabo un bloqueo de los servidores de mando y control. Lo más impactante es que el ataque no depende de scripts de instalación o eventos de postinstalación y permite redirigir operaciones sin necesidad de actualizar los paquetes infectados.
Para los que forman parte de empresas tecnológicas y equipos DevOps, esto significa que puede afectar de diversas maneras a proyectos de gran relevancia en el mercado. Millones de euros podrían estar en juego ahora mismo, cuentas y problemas generales en plataformas que involucran criptomonedas y, en la siguiente información, está todo el contenido relacionado para estar al día sobre las posibles amenazas.
¿Cómo utiliza PolinRider Ethereum para localizar sus servidores maliciosos?
Hay muchos casos de vulnerabilidad de seguridad donde se han involucrado múltiples criptomonedas. Hace un tiempo se dio un robo de más de 5.6 millones de euros en Bitcoin y ahora una de las amenazas más grandes impacta directamente con la red Ethereum.
Ahora, la investigación realizada el 4 de noviembre de 2026 por parte del equipo de Sonatype ha sido fundamental para identificar nuevos movimientos maliciosos que se centran en un secuestro de paquetes npm y una introducción de cargadores de JavaScript ocultos que tienen la capacidad de recuperar código de servidores remotos.
La mencionada criptomoneda es prácticamente el sistema de señalización que se debe llevar a cabo por medio de un código que se activa cuando se ejecuta un punto de entrada afectado dentro de la app. Esto quiere decir que, cuando se trata de la ciberseguridad para poder proteger la manipulación de datos de los entes malignos, no es posible hacer uso de las medidas tradicionales como deshabilitar los scripts de instalación de npm.
Los cargadores incluidos en los paquetes comprometidos consultan puntos públicos de acceso RPC de Ethereum y, si no logran obtener respuesta, recurren a servicios alternativos como Blockscout. En este caso, no se trata simplemente de almacenar malware en la cadena de bloques, pues los cibercriminales utilizan las transacciones enviadas desde la cartera "0x1eef0849eda15d87f64e51c73c8442cf3c8bcef3" con el fin de esconder las direcciones IP codificadas.
Realizando esta táctica, la blockchain sirve como un directorio distribuido donde el malware tiene el poder de identificar el servidor ideal para lograr descargar la infección con efectividad.
Una vez identificada la dirección remota, el cargador solicita recursos específicos denominados "/0x/cls" y "/0x/ls" mediante conexiones HTTP a través del puerto 443. Tras recibir la información, el código se descifra mediante una operación XOR y posteriormente se ejecuta dentro del sistema afectado.
Parte de la carga se ejecuta mediante eval, una función habitualmente asociada a técnicas de ofuscación y ejecución dinámica de código, aunque algunas variantes emplean métodos alternativos para evitar patrones de detección basados en firmas conocidas.
Según explica Sonatype en su análisis desde GBHackers, esta arquitectura permite que los operadores cambien los servidores utilizados para la campaña publicando nuevas transacciones en Ethereum.
¿Qué paquetes fueron afectados y qué deben hacer los desarrolladores?
Los investigadores identificaron doce versiones maliciosas distribuidas a través de diez paquetes npm diferentes. Entre ellos figuran @adminide-stack/client-redux, @adminide-stack/utils, server-hemera-mongo, cdeops, @cdmbase/wiki-browser y otros componentes relacionados con el ecosistema Adminide Stack.
Algunas versiones ocultaban la carga útil usando la clásica técnica
"eval(atob(...))", basada en datos codificados en Base64, mientras que otras reconstruían dinámicamente el código mediante permutaciones de caracteres y constructores de funciones JavaScript para dificultar su detección.
La atribución de la campaña apunta nuevamente hacia PolinRider debido a varias coincidencias detectadas por los investigadores. Además, la dirección IP 95.135.181.151 ya había sido identificada por GitGuardian como infraestructura relacionada con actividades maliciosas.
El análisis posterior detectó etapas capaces de instalar troyanos de acceso remoto basados en Node.js y mecanismos de persistencia orientados a apps ampliamente utilizadas, como Visual Studio Code, Cursor, Discord y GitHub Desktop.
Por esa razón, los expertos recomiendan revisar las dependencias, verificar archivos de bloqueo, examinar cachés y registros de compilación antes de continuar con cualquier acción en un proyecto de gran escala.