CrowdStrike y las autoridades estadounidenses desmantelan botnet rusa utilizada para robar criptomonedas.

Todas las noticias

Noticias destacadas

Selecciones del editor

Acciones

Criptomonedas

Economía

Divisas

Materias Primas

Negocios y Riqueza

Voces del mercado

Hlib Chabaniuk

02.09.2026

CrowdStrike y las autoridades estadounidenses desmantelan botnet rusa utilizada para robar criptomonedas. — Botnet rusa que robaba criptomonedas desmantelada tras 8 años.

CrowdStrike, en colaboración con las fuerzas del orden de EE. UU., ha desmantelado la botnet Sality, vinculada a Rusia, que se utilizó para robar criptomonedas durante los últimos ocho años. El malware monitorizaba las direcciones de monederos de Bitcoin y Ethereum copiadas y las reemplazaba silenciosamente por direcciones controladas por los atacantes.

Este artículo ha sido traducido del original. Lea la versión original de nuestro corresponsal aquí.

Según un comunicado de prensa, Sality existe desde 2003, pero sus operadores añadieron posteriormente un componente diseñado para interceptar transferencias de criptomonedas. CrowdStrike denominó a esta parte del malware EggJagger.

El ataque aprovechaba la práctica común entre los usuarios de criptomonedas de copiar las largas direcciones de monederos en lugar de introducirlas manualmente. Una vez infectado el ordenador, el malware monitorizaba continuamente el portapapeles en busca de cadenas que se asemejaran a direcciones de monederos cripto.

El malware robaba criptomonedas a través del portapapeles

Cuando un usuario copiaba una dirección para enviar Bitcoin o Ethereum, EggJagger la reemplazaba por una dirección controlada por el atacante. Si la víctima no verificaba la dirección después de pegarla y confirmaba la transacción, la criptomoneda se enviaba al atacante sin posibilidad de revertir la transferencia.

Según CrowdStrike, los operadores del esquema recibieron al menos 12,1 millones de rublos, o aproximadamente 150.000 dólares al momento de las transferencias, durante ocho años. Gran parte de las criptomonedas robadas permanecieron intactas, y su valor había aumentado a aproximadamente 1,35 millones de dólares a principios de 2025 a medida que el mercado cripto crecía.

La cantidad es relativamente pequeña para una operación cibernética que duró varios años, pero el esquema no requería un ataque sofisticado a una blockchain o al propio monedero cripto. Un ordenador infectado y la falta de verificación de la dirección del destinatario por parte del usuario eran suficientes para robar los fondos.

Se recomienda a los usuarios verificar al menos los primeros y últimos caracteres de una dirección de monedero después de pegarla y antes de confirmar cada transacción. Esto puede revelar una sustitución de dirección antes de aprobar una transferencia de criptomonedas irreversible.

Más de 15.000 ordenadores infectados aislados

No se podía desmantelar Sality simplemente apagando un servidor central de comando y control.

La botnet utilizaba una arquitectura peer-to-peer, con los ordenadores infectados comunicándose directamente y comprobando aproximadamente cada 40 minutos si los pares conocidos seguían disponibles.

Sality tampoco contaba con autenticación adicional para los nodos que se conectaban a la red. CrowdStrike aprovechó esta debilidad reemplazando las direcciones de los pares legítimos de la botnet por direcciones controladas por sus servidores, aislando más de 15.000 dispositivos infectados de la red.

La operación se llevó a cabo durante una demostración en la conferencia Day Zero de CrowdStrike en Las Vegas, con la participación de las fuerzas federales del orden. El Departamento de Justicia de EE. UU. afirmó que los operadores de Sality estaban vinculados a Rusia.

El incidente se produce en medio de una serie de grandes ataques a la infraestructura de criptomonedas. Anteriormente, la blockchain Cronos, estrechamente asociada con Crypto.com, fue completamente detenida tras un exploit en Tectonic, el mayor protocolo de préstamos de su ecosistema, con pérdidas preliminares estimadas en unos 75 millones de dólares.

Cronos opera desde 2021 y se utiliza para ofrecer transacciones de menor coste en los productos de Crypto.com, mientras que CRO sigue siendo uno de los activos clave del ecosistema. El ataque a Tectonic puso de manifiesto otra fuente de riesgo para los tenedores de activos digitales: las vulnerabilidades dentro de la propia infraestructura de los protocolos DeFi.

Anteriormente, informamos que monederos vinculados al Lazarus Group de Corea del Norte movieron alrededor de 30 millones de dólares en activos digitales a través de Hyperliquid. Las transferencias fueron identificadas por analistas de la plataforma de inteligencia blockchain Arkham.

Este material puede contener opiniones de terceros, ninguno de los datos e información en esta página web constituye asesoramiento de inversión según nuestro Aviso Legal. Aunque nos adherimos a una estricta Integridad Editorial, esta publicación puede contener referencias a productos de nuestros socios.

¿Te gustó el artículo?