Un falso asistente de inteligencia artificial para operar con criptomonedas distribuía un malware capaz de sustituir extensiones de monederos instaladas en navegadores Chromium por copias diseñadas para robar credenciales. La campaña afectó a equipos con Windows y no implicó una intrusión en Coinbase, MetaMask ni en sus extensiones oficiales: el punto de entrada era la descarga y ejecución de un programa fraudulento.
El hallazgo aparece en el informe de amenazas de septiembre de HP Wolf Security, el equipo de investigación de seguridad de HP, publicado el 17 de septiembre y basado en incidentes observados entre abril y junio de 2026. La campaña, identificada como TradingClaw, ya había sido documentada en abril por Malwarebytes, que también relacionó el malware Needle Stealer con otros cargadores maliciosos.
Un supuesto asistente de trading distribuido mediante anuncios
Los atacantes promocionaban el dominio tradingclaw[.]pro como una herramienta capaz de seguir una estrategia personalizada y operar de forma continua. Para atraer a posibles víctimas recurrieron al posicionamiento manipulado en buscadores y a anuncios pagados. Ambos métodos conducían a un archivo ZIP presentado como el instalador del supuesto asistente.
Dentro del archivo había un ejecutable llamado Trading Agent.exe y una biblioteca denominada iviewers.dll. HP identificó el primero como OLEView, el visor legítimo de objetos OLE/COM de Microsoft, que cuenta con una firma digital válida. La utilización de un programa conocido y firmado ayudaba al archivo a superar el filtro de reputación SmartScreen de Microsoft.
El componente peligroso se encontraba en la biblioteca que acompañaba al ejecutable. Cuando la víctima abría el programa con apariencia legítima, este cargaba la DLL maliciosa. El código descifraba Needle Stealer y empleaba una técnica conocida como vaciado de procesos, que permite ejecutar código malicioso dentro de un proceso legítimo recién iniciado.
El malware reemplazaba siete extensiones de monederos
Needle Stealer examinaba las extensiones instaladas en navegadores basados en Chromium y comparaba sus identificadores, formados por 32 caracteres, con una lista incorporada en el propio malware. La relación incluía Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
Cuando encontraba una de las extensiones objetivo, el programa cerraba el navegador y extraía una copia manipulada dentro de la carpeta de la extensión original. De ese modo, el usuario podía encontrarse de nuevo con una interfaz visualmente familiar, pero controlada por los atacantes.
En su primer arranque, la extensión sustituida se conectaba con un servidor de mando y control. También incorporaba dominios de respaldo para mantener la comunicación si alguno de los destinos dejaba de estar disponible. HP señaló que los delincuentes habían creado pantallas de inicio de sesión realistas, capaces de solicitar el identificador y la contraseña del monedero y enviarlos posteriormente al operador.
La guía de MetaMask indica que, en los monederos creados mediante una frase secreta de recuperación, la contraseña sirve para desbloquear la aplicación de forma local y no permite restaurar por sí sola el monedero en otro dispositivo. Aun así, la sustitución se producía en un equipo ya comprometido, por lo que los fondos accesibles desde ese entorno quedaban expuestos.
El alcance de la campaña aún no está cuantificado
Ni el informe de HP ni el resumen publicado por la compañía ofrecen una cifra total de víctimas o de pérdidas en criptomonedas. Por tanto, el alcance económico de la operación sigue sin estar determinado. El caso muestra, no obstante, una vía de ataque distinta de la explotación directa de una plataforma de intercambio o de una extensión oficial: el usuario descargaba un programa aparentemente legítimo y el malware alteraba después las herramientas de custodia instaladas en su propio navegador.
