La nueva forma de esconder malware: en las cadenas de bloques de criptomonedas
Si pensabas que los ciberdelincuentes ya habían mostrado todas sus cartas, prepárate para la última innovación en distribución de malware. Grupos de hackers —incluyendo uno que trabaja para Corea del Norte— han descubierto cómo usar las cadenas de bloques públicas de criptomonedas como plataforma para almacenar y distribuir su malware. Y lo peor: es casi imposible de eliminar.
Un nuevo tipo de alojamiento «a prueba de balas»
Desde hace años, los actores maliciosos han utilizado servidores «bulletproof» (a prueba de balas) para distribuir malware. Estos servidores están ubicados estratégicamente en países con escasa cooperación internacional en materia de ciberseguridad, lo que los protege de las acciones legales. Pero tienen un problema: son caros y siguen siendo vulnerables a ciertos tipos de presión.
Según un informe de octubre de 2025 publicado por Google Threat Intelligence Group, desde febrero de este año, los investigadores han detectado una técnica mucho más sofisticada: EtherHiding.
¿Qué es exactamente EtherHiding?
La técnica consiste en ocultar código malicioso dentro de contratos inteligentes almacenados en blockchains de criptomonedas como Ethereum o BNB Smart Chain. Los contratos inteligentes son, en esencia, programas que se ejecutan automáticamente cuando se cumplen ciertas condiciones, y lo más importante: una vez creados, son inmutables y no pueden ser eliminados.
Como me explicaba un colega especialista en seguridad blockchain: «Es como esconder una navaja en un monumento público que nadie puede quitar. Siempre estará ahí para quien sepa cómo encontrarla.»
Por qué esta técnica es realmente preocupante
Lo que hace que EtherHiding sea tan inquietante son sus ventajas inherentes:
Inmunidad frente a las tácticas tradicionales
Las blockchains están diseñadas para ser inmutables e inalterables. Esto significa que:
- No hay forma de eliminar el malware: Una vez subido a la blockchain, el código permanece allí indefinidamente.
- No se puede modificar: Nadie, ni siquiera las autoridades, pueden alterar el contenido de un contrato inteligente ya desplegado.
- El acceso es anónimo: Los atacantes pueden recuperar su malware sin dejar rastro en los registros de eventos.
Económicamente atractivo
Crear o modificar un contrato inteligente cuesta menos de 2€ por transacción. Comparado con el mantenimiento de servidores tradicionales «a prueba de balas», representa un ahorro brutal tanto en dinero como en esfuerzo logístico.
La facilidad con la que se puede implementar esta técnica la hace accesible no solo para grupos estatales sofisticados, sino también para ciberdelincuentes con recursos más limitados.
Los grupos detrás de estos ataques
Google ha identificado dos grupos principales utilizando esta técnica:
UNC5342 (respaldado por Corea del Norte)
Este grupo utiliza un malware llamado JadeSnow para extraer etapas posteriores de su malware almacenado tanto en Ethereum como en BNB Smart Chain. Lo interesante es que alternan entre diferentes blockchains para complicar el análisis y aprovecharse de las tarifas de transacción más bajas en diferentes redes.
Si has seguido las noticias de ciberseguridad, sabrás que Corea del Norte ha elevado enormemente su juego en la última década. Según Elliptic, el país ha robado criptomonedas por valor de más de 2.000 millones de euros solo en 2025. Este nuevo método de distribución de malware solo amplía su arsenal.
UNC5142 (grupo motivado financieramente)
Este segundo grupo también ha adoptado EtherHiding, aunque con fines más directamente orientados al beneficio económico.
La trampa social detrás de la tecnología
No todo es tecnología avanzada. Lo curioso es que estos grupos siguen dependiendo de métodos clásicos de ingeniería social para conseguir que las víctimas ejecuten el malware inicial.
La campaña observada por Google utiliza ofertas de trabajo falsas dirigidas principalmente a desarrolladores de aplicaciones de criptomonedas. Durante el proceso de selección, los candidatos deben completar pruebas que demuestren sus habilidades de programación o revisión de código. Los archivos necesarios para estas pruebas contienen código malicioso que inicia la cadena de infección.
Es un recordatorio de que, por muy avanzada que sea la tecnología, el eslabón más débil sigue siendo el factor humano.
¿Podemos defendernos contra esta amenaza?
Siendo sincero, la defensa contra EtherHiding es complicada precisamente porque aprovecha las fortalezas fundamentales de la tecnología blockchain: inmutabilidad y descentralización.
Sin embargo, hay algunas estrategias que podemos implementar:
- Análisis de comportamiento: Los sistemas de seguridad pueden detectar cuando un programa intenta interactuar con contratos inteligentes de una manera sospechosa.
- Seguridad en los endpoints: Sigue siendo crucial tener una buena protección en los dispositivos para evitar la instalación inicial del malware.
- Concienciación: Como siempre, educar a los usuarios sobre las técnicas de ingeniería social utilizadas para distribuir el malware inicial es fundamental.
La realidad es que estamos ante una carrera armamentística donde los ciberdelincuentes han encontrado una forma de aprovechar la inmutabilidad de la blockchain, una característica diseñada para garantizar la seguridad e integridad, pero que ahora se convierte en una ventaja para el malware.
Como hemos visto anteriormente en otras amenazas emergentes, no será la última innovación que veremos en el campo de la ciberseguridad. La adaptabilidad y la vigilancia constante siguen siendo nuestras mejores defensas.
