Un programa que se anunciaba como un asistente de inteligencia artificial para operar con criptomonedas distribuía malware capaz de sustituir extensiones legítimas de monederos en navegadores de Windows. La copia fraudulenta mostraba una pantalla de acceso prácticamente idéntica a la original, pero enviaba al atacante los datos introducidos por la víctima.
La campaña aparece recogida en el informe de amenazas de septiembre de HP Wolf Security, el equipo de investigación de seguridad de HP, publicado el 17 de septiembre y elaborado a partir de incidentes observados entre abril y junio de 2026. La compañía subraya que el ataque comenzaba en el dispositivo del usuario tras descargar y ejecutar una herramienta falsa; no se trataba de una intrusión en Coinbase, MetaMask ni en sus extensiones oficiales.
Un instalador disfrazado de herramienta de trading
Los operadores promocionaban el dominio tradingclaw[.]pro como un asistente de IA capaz de seguir una estrategia personalizada y operar de forma continua. Para atraer visitas recurrieron al envenenamiento de resultados en buscadores y a anuncios de pago, que dirigían a los usuarios hacia un archivo comprimido presentado como el instalador del programa.
El archivo incluía un ejecutable llamado Trading Agent.exe y una biblioteca dinámica identificada como iviewers.dll. HP determinó que el ejecutable era en realidad OLEView, el visor legítimo de objetos OLE/COM de Microsoft, firmado digitalmente por la compañía. Esa firma ayudaba al archivo a superar el filtro de reputación SmartScreen de Microsoft, mientras que la carga maliciosa permanecía en la biblioteca asociada.
Al abrir el programa aparentemente fiable, este cargaba la DLL maliciosa. El código descifraba Needle Stealer y empleaba una técnica conocida como process hollowing, que permite ejecutar código malicioso dentro de un proceso legítimo recién iniciado. Needle Stealer ya había sido relacionado con la campaña TradingClaw por Malwarebytes en abril y, según HP, también se había distribuido mediante otros cargadores de malware. El falso asistente era, por tanto, una de las vías de entrada de una operación más amplia.
El navegador se convertía en una trampa para el monedero
Una vez instalado, Needle Stealer revisaba las extensiones del navegador basadas en Chromium y comparaba sus identificadores de 32 caracteres con una lista codificada en el propio malware. La lista incluía Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
Cuando encontraba una extensión objetivo, el programa cerraba el navegador y extraía una versión maliciosa dentro de la carpeta de la extensión original. De ese modo, el usuario podía seguir viendo una interfaz familiar sin advertir necesariamente que el componente instalado ya no era el legítimo.
En el primer arranque, la extensión sustituida se conectaba con un servidor de mando y control utilizado por los atacantes y cargaba dominios de respaldo. HP señala que los delincuentes habían creado pantallas de inicio de sesión realistas. El identificador del monedero y la contraseña introducidos en esa interfaz podían acabar en manos de los operadores.
La propia documentación de MetaMask indica que, en los monederos creados con una frase secreta de recuperación, la contraseña desbloquea el monedero de forma local y no permite restaurarlo por sí sola en otro dispositivo. Eso no elimina el riesgo en este caso: la extensión fraudulenta funcionaba en un equipo que ya estaba comprometido y podía poner en peligro los fondos accesibles desde él.
El alcance económico de la operación sigue sin conocerse
HP no publicó el número total de víctimas ni una estimación de las pérdidas acumuladas en criptomonedas. Por ello, el alcance de la campaña no está cuantificado. El caso ilustra, no obstante, una táctica distinta del robo directo de claves mediante una página falsa: el atacante reemplaza un componente instalado y conocido por el usuario y aprovecha esa confianza para capturar sus credenciales.
