Un programa presentado como un asistente de inteligencia artificial para operar con criptomonedas distribuía malware capaz de sustituir extensiones de carteras instaladas en navegadores Chromium. La operación convertía la interfaz habitual de servicios como MetaMask, Coinbase Wallet o Phantom en una pantalla de acceso falsa diseñada para capturar las credenciales del usuario.
El hallazgo figura en el informe de septiembre de HP Wolf Security, el equipo de investigación de amenazas de HP, publicado el 17 de septiembre y elaborado a partir de incidentes observados entre abril y junio de 2026. La compañía subraya que el ataque comenzaba en el ordenador de la víctima tras descargar y ejecutar una herramienta fraudulenta. No se trató de una intrusión en Coinbase, MetaMask ni en sus extensiones oficiales.
Un supuesto asistente de trading como puerta de entrada
Los atacantes promocionaban el dominio tradingclaw[.]pro como un asistente capaz de seguir estrategias personalizadas y operar de forma continuada. Para atraer a posibles víctimas recurrieron a técnicas de manipulación de resultados en buscadores y a anuncios de pago. El enlace conducía a un archivo ZIP que se presentaba como el instalador del programa.
Dentro del archivo había un ejecutable llamado Trading Agent.exe y una biblioteca identificada como iviewers.dll. HP determinó que el ejecutable era en realidad OLEView, una herramienta legítima de Microsoft para visualizar objetos OLE y COM, además firmada digitalmente. Según la investigación, esa firma ayudaba al archivo a superar el filtro de reputación SmartScreen de Microsoft, mientras que la carga maliciosa se encontraba en la DLL.
Al abrir el programa aparentemente fiable, este cargaba la biblioteca incluida en el paquete. El código descifraba Needle Stealer, un malware especializado en el robo de información, y utilizaba una técnica conocida como process hollowing para ejecutar código malicioso dentro de un proceso legítimo recién iniciado. Malwarebytes ya había documentado en abril la campaña TradingClaw y había señalado que Needle Stealer también circulaba a través de otros cargadores de malware. El falso asistente era, por tanto, una de las vías de acceso a una operación más amplia.
Cómo se cambiaban las extensiones de las carteras
Una vez activo, Needle Stealer examinaba las extensiones instaladas en navegadores basados en Chromium. El programa comparaba sus identificadores, de 32 caracteres, con una lista incorporada en el propio código. Esa lista incluía Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
Cuando detectaba una de las extensiones seleccionadas, el malware cerraba el navegador y extraía una copia manipulada dentro de la carpeta de la extensión original. De ese modo, el usuario podía volver a encontrarse con el icono y la interfaz conocidos, sin una señal evidente de que el componente había sido reemplazado.
En su primer arranque, la extensión modificada contactaba con un servidor de control operado por los atacantes y cargaba dominios alternativos preparados como respaldo. HP afirma que las pantallas de inicio de sesión estaban construidas para parecer auténticas. La identificación de la cartera y la contraseña introducidas en ellas podían enviarse a los operadores de la campaña.
El alcance de la campaña sigue sin estar claro
La documentación de MetaMask indica que, en las carteras creadas mediante una frase de recuperación secreta, la contraseña desbloquea la aplicación de forma local y no permite restaurar la cartera en otro dispositivo. Aun así, una extensión sustituida en un ordenador ya comprometido podía poner en riesgo los fondos accesibles desde ese equipo.
HP no ha comunicado cuántas personas resultaron afectadas ni cuál fue el volumen total de criptomonedas sustraído. El alcance económico y operativo de la campaña, por tanto, continúa sin determinarse. El caso muestra una estrategia distinta del robo mediante una aplicación falsa independiente: el malware no necesita convencer al usuario para abandonar su cartera habitual, sino que puede alterar la extensión que ya utiliza y conservar su apariencia.
