Un falso asistente de inteligencia artificial para operar con criptomonedas podía sustituir las extensiones de monederos instaladas en navegadores basados en Chromium por copias maliciosas diseñadas para robar credenciales. HP Wolf Security, el equipo de investigación de amenazas de HP, ha documentado la campaña en su informe de septiembre, publicado el 17 de septiembre y elaborado a partir de incidentes observados entre abril y junio de 2026.
El ataque no consistía en una intrusión contra Coinbase, MetaMask ni contra sus extensiones oficiales. La infección comenzaba en el ordenador de la víctima, después de que esta descargara y ejecutara un supuesto asistente de trading con inteligencia artificial. La herramienta se promocionaba como un programa capaz de seguir estrategias personalizadas y operar durante todo el día.
Un instalador fraudulento distribuido mediante anuncios
Los atacantes utilizaron técnicas de manipulación de resultados en buscadores y anuncios de pago para dirigir a los usuarios hacia el dominio tradingclaw[.]pro. Desde allí, las víctimas descargaban un archivo ZIP presentado como el instalador del programa.
El archivo incluía un ejecutable llamado Trading Agent.exe y una biblioteca iviewers.dll. HP identificó el ejecutable como OLEView, una herramienta legítima de Microsoft para visualizar objetos OLE y COM, además de estar firmada digitalmente. Esa apariencia confiable podía ayudar al archivo a superar el filtro de reputación SmartScreen de Microsoft.
Sin embargo, la carga maliciosa se encontraba en la DLL incluida en el mismo paquete. Al ejecutar el programa aparentemente legítimo, este cargaba la biblioteca manipulada. El código descifraba después Needle Stealer, un malware especializado en el robo de información, y recurría a una técnica conocida como “vaciado de procesos” para ejecutar código malicioso dentro de un proceso legítimo recién iniciado.
La extensión legítima era reemplazada por una copia
Needle Stealer analizaba las extensiones instaladas en el navegador y comparaba sus identificadores, de 32 caracteres, con una lista incorporada en el propio código. La lista incluía siete monederos: Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
Cuando encontraba una de esas extensiones, el malware cerraba el navegador y extraía una versión maliciosa en la carpeta donde se encontraba la extensión original. De ese modo, la víctima podía seguir viendo una interfaz familiar y no necesariamente advertir de inmediato que el complemento había sido sustituido.
En el primer arranque, la copia fraudulenta se conectaba a un servidor de control operado por los atacantes y cargaba dominios de respaldo. HP señala que los delincuentes habían creado pantallas de inicio de sesión realistas. Cualquier identificador del monedero y contraseña introducidos en esa interfaz podían enviarse a los operadores de la campaña.
La guía de MetaMask establece que, en los monederos creados mediante una frase secreta de recuperación, la contraseña desbloquea el monedero localmente y no permite restaurarlo en otro dispositivo. Aun así, el reemplazo suponía un riesgo: la extensión maliciosa funcionaba en un equipo que ya estaba comprometido y podía exponer fondos accesibles desde ese entorno.
El alcance de la operación sigue sin estar claro
La campaña fue vinculada a TradingClaw, una operación que Malwarebytes ya había documentado en abril. Esa investigación también señaló que Needle Stealer circulaba a través de otros cargadores de malware, por lo que el falso asistente de inteligencia artificial era solo una de las vías de entrada a una operación más amplia.
Ni el informe de HP ni el resumen publicado por la compañía ofrecen una cifra total de víctimas o de pérdidas en criptomonedas. Por tanto, el alcance económico de la campaña todavía no está determinado.
