Las campañas PromptMink y Mastra de Corea del Norte muestran cómo los agentes de codificación con IA se han convertido en la nueva frontera de los ataques a la cadena de suministro de criptomonedas, robando billeteras a través de dependencias de npm envenenadas.
Los ataques a la cadena de suministro de criptomonedas ahora llegan a través de programadores de IA
El 28 de febrero de 2026, un commit de código rutinario se integró en un bot de trading de Solana de código abierto llamado openpaw-graveyard. Añadió una única dependencia, @solana-launchpad/sdk. El commit fue co-escrito por Claude Opus de Anthropic. La dependencia parecía limpia: README pulido, tipos de TypeScript correctos, funcionalidad real de Solana. También incorporó silenciosamente @validate-sdk/v2, un ladrón de credenciales norcoreano que dio a sus operadores una ruta hacia las billeteras y fondos del proyecto. El ataque a la cadena de suministro de criptomonedas ha entrado en su era de IA, y casi nadie está defendiendo la capa correcta.
ReversingLabs, la firma de inteligencia de amenazas que descubrió la campaña y la nombró PromptMink, resumió el giro en una línea: los paquetes maliciosos fueron "más exitosos engañando a los agentes de codificación LLM que a los humanos para que los usaran". Esa oración debería aterrorizar a cualquiera que esté construyendo en cripto en este momento.
Aquí está el argumento que quiero plantear, y es deliberadamente incómodo: el sector cripto ha pasado una década y cientos de millones de dólares auditando la blockchain —contratos inteligentes, lógica de consenso, multisigs— mientras que el dinero real ahora se está robando una capa más arriba, en el teclado del desarrollador, por malware que el propio asistente de IA del desarrollador entregó en persona. Hemos estado defendiendo la bóveda mientras los ladrones aprendieron a forrar la cerradura de la habitación donde está la bóveda.
Puntos clave
- ReversingLabs reveló PromptMink el 29 de abril de 2026: el grupo norcoreano Famous Chollima utilizó un asistente de codificación con IA para instalar una dependencia de npm que roba carteras en un agente de trading autónomo en producción.
- No está aislado: el ataque de junio de 2026 a Mastra (Sapphire Sleet) envenenó más de 140 paquetes de marcos de IA en 88 minutos, y la primera mitad de 2026 produjo 497 paquetes maliciosos, aproximadamente 4,5 veces el volumen de paquetes de todo 2025.
- El dinero ya no se mueve a través de exploits de contratos inteligentes; se roba en la estación de trabajo del desarrollador, a través de la cadena de suministro de software.
- La carrera de la industria hacia agentes de IA autónomos que poseen claves privadas está construyendo el objetivo exacto que Corea del Norte ya sabe cómo vaciar.
¿Por qué el ataque se movió fuera de la cadena?
PromptMink es una clase magistral para aprovechar la brecha entre humanos y máquinas. El famoso Chollima (también rastreado como Shifty Corsair, y superpuesto con los clústeres BlueNoroff y Sapphire Sleet) construyó una arquitectura de paquetes de dos capas. La primera capa es el señuelo: paquetes como @solana-launchpad/sdk, @meme-sdk/trade y @validate-ethereum-address/core que ofrecen funcionalidad Web3 genuina y útil, sin ningún código malicioso. La segunda capa es la carga útil desechable: @validate-sdk/v2 y sus hermanos, que realizan el robo real y pueden ser reemplazadas en cuestión de horas cuando un registro elimina uno de ellos.
Lo que debería hacer que la sangre de la industria se congele es cómo se ajustó el señuelo. ReversingLabs denomina a esta técnica "abuso de Optimización de LLM (LLMO)": los paquetes fueron diseñados con READMEs largos y bien formateados, así como documentación pulida, para que parecieran la respuesta ideal a cualquier tarea asignada a un agente de codificación de IA. El código en sí fue "vibe-coded" (generado con un LLM), dejando artefactos residuales como un comentario que pregunta "¿ofuscar el README?" en archivos de producción. Un desarrollador humano habría notado un paquete con doce descargas publicado la semana pasada. El agente solo vio ajuste semántico y calidad de la documentación.
Luego las cargas útiles se intensificaron. Las primeras versiones eran simples infostealers de JavaScript que barrían archivos .env y .json. Las variantes posteriores crecieron hasta convertirse en binarios ejecutables únicos de Node.js de 80 megabytes, luego complementos compilados en Rust que plantaban claves SSH del atacante para persistencia y exfiltraban árboles de código fuente completos. Durante aproximadamente siete meses, la campaña publicó más de 60 paquetes únicos abarcando más de 300 versiones. La investigación independiente de Expel vinculó aproximadamente $12 millones en robos confirmados de criptomonedas a la operación solo en el Q1 de 2026.
¿Quién gana cuando la IA elige tus dependencias?
Este no es un incidente aislado. Es una campaña documentada. En abril de 2026, un atacante en la misma órbita comprometió el cliente HTTP Axios —una de las bibliotecas de JavaScript más descargadas del mundo— y, a través de él, el flujo de trabajo de firma de aplicaciones de macOS en OpenAI, forzando la revocación de los certificados de firma de código para ChatGPT Desktop, Codex y Atlas. En junio de 2026, Sapphire Sleet secuestró la cuenta inactiva de npm "ehindero", un excontribuidor de Mastra cuyos derechos de publicación nunca fueron revocados, y volvió a publicar más de 140 paquetes en el marco de agentes de IA @mastra en un intervalo de 88 minutos. La carga útil envenenada, un typosquat de la ubicua biblioteca dayjs llamada easy-day-js, activó un dropper postinstall que apuntó a 166 extensiones de billeteras de criptomonedas para navegadores en Windows, macOS y Linux.
Unit 42 de Palo Alto cuantificó la tendencia: la primera mitad de 2026 vio 37 campañas y 497 paquetes maliciosos dirigidos a herramientas de agentes de IA, aproximadamente 2,6 veces más campañas y 4,5 veces el volumen de paquetes que todo el año 2025 combinado. Socket ha vinculado más de 1.700 paquetes maliciosos a esta actividad en npm, PyPI, Go, Rust y Packagist desde enero de 2025.
Lo que pierde es obvio: cada equipo que 'codifica con vibra' un agente de producción contra dependencias no verificadas, cada desarrollador independiente cuyo portátil ejecuta npm install en piloto automático, y cada protocolo que lanza una función de 'agente autónomo' con acceso por tecla rápida. Lo que gana es igual de claro: los proveedores de seguridad que tratan a los agentes de codificación con IA como una superficie de ataque en lugar de una capa de verificación — ReversingLabs, Socket, Snyk, Sonatype — y los registros que, por fin, se ven obligados a la atestación de procedencia, expiración del alcance de publicación y autenticación de dos factores obligatoria.
¿Ha pasado esto antes?
Sí, pero nunca a esta velocidad ni con esta asimetría. La puerta trasera en el flujo de eventos de 2018 y las vulnerabilidades de coa/rc y ua-parser-js de 2021 demostraron que la cadena de suministro de npm era débil. La campaña de Contagious Interview de Corea del Norte pasó años atrayendo a desarrolladores de criptomonedas mediante entrevistas de trabajo falsas y evaluaciones de programación con troyanos. Lo que cambió en 2026 fue la eliminación del cuello de botella humano. El atacante ya no tiene que engañar a un desarrollador para que instale lo incorrecto; engaña a la heurística de selección de paquetes del modelo, y el desarrollador fusiona el resultado como un compromiso "co-autor" que lleva un sello de procedencia de IA que muchos revisores ahora confían de forma reflexiva.
Es un envenenamiento de SEO para el código: el mismo esquema que la gente usa para manipular los resultados de Google, aplicado a la resolución de dependencias. Y tiene un hermano que la industria apenas menciona: el "slopsquatting", donde un agente de IA alucina un nombre de paquete plausible durante la generación, y los atacantes registran ese nombre exacto más tarde para que el siguiente agente que "complete" la misma tarea extraiga la trampa. La vulnerabilidad no está en el modelo. Está en una tubería que le da a un agente la autoridad para agregar dependencias y ejecutar scripts de instalación sin reputación previa a la fusión ni filtro de malware.
¿Hacia dónde se dirige esto en uno a tres años?
La primera ola de defensa será aburrida y mayormente efectiva: autorización por paquete, aplicación de lockfile y procedencia, instalaciones en entornos aislados, tratamiento de los hooks postinstall como no confiables por defecto, y fuentes de inteligencia sobre amenazas integradas en el contexto del agente de codificación. La segunda ola es donde se pone feo. Los atacantes seguirán la cadena de confianza hacia arriba —en los pesos del modelo, los datos de ajuste fino y los servidores MCP, el tejido conectivo de la economía de agentes. El Grupo de Inteligencia de Amenazas de Google ya documentó la primera explotación de día cero generada por IA utilizada en la naturaleza en 2026. Corea del Norte no va a detenerse; el robo de criptomonedas es una línea de ingresos estatal.
Mi predicción: en tres años, "quién escribió el código y qué importa" se convierte en la verdadera pregunta de seguridad, y "el código es ley" muere como postura. Los agentes autónomos que tocan fondos serán tratados como usuarios privilegiados sujetos a una revisión de mínimo privilegio, y un estándar de atestación de la cadena de suministro —el equivalente cripto de SOC 2— se convierte en un requisito básico para cualquier cosa que tenga una clave. Los proyectos que sobreviven son aquellos que tratan su grafo de dependencias con la misma paranoia que antes reservaban para sus contratos inteligentes.
¿Qué significa esto para los traders?
No es el precio, es el riesgo. La conclusión estratégica es una reasignación de prioridades sobre dónde está expuesto realmente tu capital. Si ejecutas o dependes de bots y agentes que acceden a claves, hazte la pregunta incómoda: ¿quién o qué añadió sus dependencias, y puede ese agente introducir un nuevo paquete sin la aprobación de un humano? Examina cualquier protocolo que lance una función de agente autónomo con custodia de teclas en caliente: el radio de explosión es nuevo, grande y casi con toda seguridad está mal valorado.
Los movimientos concretos no cuestan nada y se acumulan: fija las dependencias, confirma los archivos lock, habilita la procedencia de los paquetes, trata los hooks postinstall como no confiables, revisa cada commit escrito por IA que toque package.json, y rota los archivos .env, las claves SSH y los tokens de API en cualquier máquina que haya ejecutado npm install durante una ventana de compromiso conocida. La ventaja competitiva en este mercado durante los próximos dieciocho meses no es un token. Sigue siendo tener tus claves al final de ellos.
Lo más peligroso en el cripto en 2026 no es un error de contrato inteligente, sino un desarrollador que confía en su IA para elegir una "biblioteca de validación". Corea del Norte no venció a la cadena de bloques; venció a la persona que estaba frente a ella, utilizando su propia herramienta de productividad para hacer el trabajo sucio. Así que aquí está la pregunta que no puedo sacarme de la cabeza: nos obsesiona si el código está auditado, pero ¿quién está auditando las dependencias del auditor? Cuando tu agente de trading autónomo tiene autoridad de firma y un historial de commits co-creado con Claude, el ataque nunca tiene que tocar la cadena. Solo necesita un npm install.
FAQ
¿Qué es PromptMink? PromptMink es una campaña de cadena de suministro norcoreana nombrada por ReversingLabs en abril de 2026. Utilizó paquetes de npm de dos capas: un paquete "cebo" limpio, como @solana-launchpad/sdk, que silenciosamente descargaba una segunda capa de carga maliciosa, @validate-sdk/v2, que exfiltraba credenciales de billetera, claves SSH y código fuente.
¿Anthropic o Claude realmente crearon malware? No. El modelo no escribió código malicioso; aceptó una dependencia con apariencia plausible para una tarea de programación. El fallo fue de configuración de la canalización: un agente con autoridad para añadir dependencias y ejecutar scripts de instalación, sin ningún filtro de malware ni de reputación previo a la fusión.
¿Qué fue el ataque de Mastra? El 17 de junio de 2026, la facción Sapphire Sleet de Corea del Norte secuestró la cuenta npm inactiva "ehindero" y volvió a publicar más de 140 paquetes en el marco de agentes de IA @mastra en 88 minutos. Cada uno llevaba una dependencia de typosquat, easy-day-js, con un dropper postinstall que apuntaba a 166 extensiones de billeteras de criptomonedas.
¿Cómo sé si me vi afectado? Audita tus archivos lock en busca de los nombres de paquetes señalados (@validate-sdk/v2, @solana-launchpad/sdk, easy-day-js), ejecuta un escáner de dependencias enfocado en malware y rota los valores de .env, las claves SSH y los tokens de API en cualquier máquina que haya ejecutado npm install durante las ventanas de compromiso.
¿Por qué los agentes cripto autónomos son el objetivo principal? Se encuentran directamente junto a las claves privadas, los tokens de API y las credenciales de la nube. Unit 42 rastreó 37 campañas y 497 paquetes maliciosos dirigidos a herramientas de agentes de IA en la primera mitad de 2026: la superficie de ataque de mayor valor y menor esfuerzo en el ecosistema actual.
Fuentes para más lectura: ReversingLabs — Claude añade malware al agente de criptomonedas (https://www.reversinglabs.com/blog/claude-promptmink-malware-crypto), Microsoft Security Blog — Compromiso de la cadena de suministro de Mastra npm (https://www.microsoft.com/en-us/security/blog/2026/06/17/postinstall-payload-inside-mastra-npm-supply-chain-compromise/), y Cloud Security Alliance — Nota de investigación sobre PromptMink (https://labs.cloudsecurityalliance.org/research/csa-research-note-promptmink-dprk-ai-generated-supply-chain).