Un paquete falso de Swarm, la red de almacenamiento descentralizado que nació dentro del ecosistema Ethereum, ha servido para robar credenciales de wallets y claves privadas en Windows, macOS y Linux. En paralelo, el parche de Lighthouse en Ethereum ha llegado con carácter urgente para tapar vulnerabilidades ocultas en nodos que no se habían hecho públicas.
Los dos frentes parecen separados y responden a la misma lógica: el software que rodea a Ethereum —clientes, paquetes auxiliares, herramientas de desarrollo— es hoy la puerta de entrada más rentable para un atacante. No hace falta romper la cadena. Basta con esperar a que alguien abra la puerta desde dentro.
Qué ha pasado con el paquete falso de Swarm
La firma de seguridad SlowMist alertó de una versión maliciosa de un paquete vinculado a Swarm, la red de almacenamiento que comparte origen con Ethereum y sirve para guardar datos fuera de la cadena. El software infectado descarga y ejecuta código JavaScript, lo que en la práctica permite leer lo que pasa por el equipo, capturar contraseñas y quedarse con las claves privadas de una wallet.
El alcance no es menor. Los investigadores sitúan el riesgo en tres sistemas operativos a la vez, y describen la instalación de puertas traseras permanentes: el intruso no necesita volver si puede quedarse dentro. Los equipos de Socket y SafeDep llegaron a la misma conclusión por su cuenta y documentaron herramientas de acceso remoto persistentes.
Las recomendaciones son concretas. Quien instalara la versión afectada debe desinstalarla y volver a la 13.2.0, la última limpia conocida; en Swarm Desktop, el salto es a la v0.56.3. Los canales de descarga se concentran en la web oficial del proyecto.
El ataque no empieza en una wallet: empieza en una descarga. Y ahí el usuario de a pie tiene muy poco margen para defenderse.
Un contrato de Ethereum como centro de mando
La parte más incómoda es cómo se gestiona el malware. Según SlowMist, los atacantes usan un contrato inteligente de Ethereum —un programa que vive en la cadena y se ejecuta solo— como repositorio de configuración de mando y control. En vez de llevar las direcciones de sus servidores dentro del archivo malicioso, las consultan en la blockchain. Si necesitan cambiarlas, actualizan el contrato y listo: sin redistribuir nada.
Ese mismo contrato se había relacionado antes con SleepyDuck y EtherDuck, dos campañas que atacaron a desarrolladores con extensiones maliciosas en el mercado Open VSX. Que el sustrato se repita apunta a algo más grande que el episodio de Swarm, con desarrolladores y usuarios de cripto en el punto de mira.
El otro frente: por qué tu nodo necesita el parche de Lighthouse
Lighthouse es uno de los clientes de consenso de Ethereum: el programa que se instala en una máquina para participar en la validación de la red. Está escrito en Rust por el equipo de Sigma Prime y forma parte de la fontanería sobre la que se apoya la prueba de participación que Ethereum estrenó con The Merge en septiembre de 2022. Un fallo ahí no roba wallets, pero deja nodos expuestos o fuera de servicio.
De ahí la urgencia. El aviso sigue el patrón de las divulgaciones responsables: primero se publica la actualización, después se explica el alcance. La consigna para cualquier operador es actualizar antes de que llegue la explicación, porque ese intervalo es justo el hueco que aprovecha quien tiene la información.
- Operadores de nodo: actualizar Lighthouse a la última versión estable y revisar los registros de arranque en busca de errores.
- Usuarios de Swarm: desinstalar el paquete afectado y reinstalar la 13.2.0 o la Swarm Desktop v0.56.3.
- Wallets expuestas: si el software corrió en el equipo donde están las claves, mover los fondos a una wallet nueva generada en otro dispositivo.
Qué dice esto del eslabón más débil de Ethereum
La seguridad de Ethereum se discute casi siempre en el terreno de la criptografía y los incentivos: 32 ETH en juego por validador, slashing —la penalización que resta parte del depósito—, finalidad en dos épocas. Todo eso sigue funcionando. El problema aparece un piso más abajo, en la cadena de suministro del software, donde no hay consenso que valga y sí un paquete que alguien descarga con prisa.
Hay precedentes a mano. En diciembre de 2023, el kit de conexión de Ledger, una librería que integraban decenas de webs de DeFi, fue sustituido por una versión maliciosa y drenó wallets durante horas sin que ningún protocolo tuviera nada roto. Y tras The Merge Ethereum depende de parejas de clientes, uno de ejecución y otro de consenso: el fallo de un solo cliente deja de ser anécdota local y se convierte en riesgo de red.
Ahí está la contradicción que el sector prefiere no mirar. Los mismos incentivos que abaratan desplegar un nodo —clientes gratuitos, tutoriales de diez minutos, imágenes listas para copiar— permiten que un paquete envenenado circule con apariencia de normalidad. La salida no es renunciar al software abierto, sino tratar cada actualización como lo que es: mantenimiento de seguridad.
Quedan preguntas. Si SlowMist publica la dirección del contrato que sirve de centro de mando, se podrá medir cuántos equipos lo consultaron. Y cuando un contrato se usa como infraestructura de ataque, vuelve el viejo debate de Ethereum: qué se puede hacer contra código desplegado que nadie controla. Poco, en realidad.
