Por Canuto  

Un falso bot de arbitraje para Polymarket, alojado en GitHub y apoyado por una dependencia npm maliciosa, habría servido para robar claves privadas, contraseñas y secretos de desarrollo a decenas de usuarios. El caso muestra cómo la ambición por automatizar ganancias en DeFi puede convertirse en una puerta directa para ataques.

***

  • SafeDep identificó 30 paquetes npm maliciosos distribuidos desde diez cuentas y vinculados a un falso bot de arbitraje de Polymarket.
  • El repositorio prometía generar más de USD $80.000 al año y fue bifurcado por al menos 53 desarrolladores antes de ser señalado.
  • El malware oculto en la dependencia “clob-client-math” apunta a wallets cripto, credenciales de navegador, claves SSH, accesos de AWS y gestores de contraseñas.

 

La promesa de ganancias automáticas en mercados de predicción volvió a convertirse en un anzuelo eficaz para atacantes.

Un falso bot de arbitraje de Polymarket, publicado en GitHub, habría distribuido malware diseñado para robar credenciales sensibles de desarrolladores y traders. El caso combina varios elementos comunes en los ataques modernos al ecosistema cripto: repositorios aparentemente legítimos, paquetes npm maliciosos y una narrativa creíble de rentabilidad.

En este episodio, el incentivo fue un supuesto bot capaz de generar más de USD $80.000 al año.

Según informó Cryptopolitan al citar hallazgos de SlowMist y SafeDep, los atacantes usaron un repositorio llamado “polymarket-arbitrage-bot” para atraer usuarios interesados en estrategias automáticas dentro de Polymarket. La trampa se activaba cuando la víctima ejecutaba el comando “npm install”.

La investigación señala que al menos 53 desarrolladores bifurcaron el repositorio antes de que se encendieran las alertas. El proyecto también acumuló 36 estrellas, un detalle que ayudó a darle apariencia de legitimidad frente a potenciales víctimas.

En el ecosistema cripto, donde los bots de arbitraje y de trading algorítmico son herramientas reales y rentables para algunos operadores, la frontera entre una oportunidad técnica y una trampa maliciosa puede volverse especialmente delgada. Eso explica por qué campañas como esta pueden extenderse con rapidez entre perfiles experimentados.

Cómo operó el falso bot de Polymarket

El 1 de julio de 2026, la firma de seguridad SlowMist marcó públicamente el supuesto bot de trading como un vehículo de malware. SafeDep profundizó después en el caso y vinculó el repositorio a una red de 30 paquetes npm maliciosos repartidos a través de múltiples cuentas.

La pieza central del engaño era un repositorio en GitHub que se presentaba como una herramienta en TypeScript para explotar ineficiencias de precio en Polymarket. El nombre del proyecto y su promesa de rentabilidad estaban diseñados para atraer a desarrolladores y traders que buscan automatizar operaciones.

Las instrucciones del repositorio pedían a los usuarios colocar su clave privada de Polymarket dentro de un archivo .env antes de instalar las dependencias. Ese detalle ya elevaba el riesgo, porque empujaba a las víctimas a preparar información crítica antes de revisar a fondo el código.

El malware se escondía en una dependencia llamada “clob-client-math”. Durante la instalación, esa librería ejecutaba el código malicioso que iniciaba el robo de información desde la máquina comprometida.

La estructura del package.json también ofrecía una señal de alerta retrospectiva. El proyecto listaba cuatro dependencias, pero solo tres tenían una función legítima y visible en el código: el SDK oficial de Polymarket, ethers y dotenv.

La cuarta dependencia, “clob-client-math”, no era importada en ninguna parte del código fuente del bot. Esa ausencia de uso aparente es uno de los indicadores que SafeDep recomendó revisar en auditorías básicas de proyectos descargados desde repositorios desconocidos.

El éxito del señuelo no surgió de la nada. Los atacantes aprovecharon que bots reales ya habían generado beneficios extraordinarios dentro de Polymarket, un dato que reforzó la credibilidad del proyecto falso ante potenciales usuarios.

Entre los ejemplos citados por la cobertura original figura un bot reseñado por Dexter’s Lab que convirtió USD $313 en USD $414.000 en un mes. También se mencionó otro bot, analizado por el investigador Igor Mikerin, que habría ganado USD $2,2 millones en dos meses.

En ese contexto, un repositorio que prometía retornos elevados no sonaba necesariamente absurdo para parte del público objetivo. La campaña explotó precisamente ese cruce entre codicia, urgencia y confianza técnica.

Qué información buscaba robar el malware

El malware asociado a esta campaña no se limitaba a capturar una sola credencial. Su diseño apuntaba a recolectar múltiples capas de acceso digital, desde billeteras de criptomonedas hasta secretos de infraestructura y administradores de contraseñas.

Entre los objetivos principales aparecen datos de billeteras como MetaMask, Phantom, Coinbase Wallet y TrustWallet, además de otras soluciones similares. Para usuarios activos en DeFi y mercados de predicción, ese tipo de robo puede traducirse en pérdidas inmediatas e irreversibles.

También se reportó el robo de información almacenada en navegadores como Chrome, Firefox y Brave. Eso incluye contraseñas guardadas y cookies, dos elementos que pueden abrir la puerta a secuestro de sesiones y accesos no autorizados.

En el frente de desarrollo e infraestructura, el infostealer busca claves SSH, credenciales de AWS y tokens de npm y PyPI. Con ese material, un atacante no solo compromete a una víctima puntual, sino que puede escalar hacia entornos empresariales o a nuevas cadenas de suministro.

La campaña además apunta a gestores de contraseñas como Bitwarden, KeePass y 1Password. Ese detalle vuelve el incidente más serio, porque una sola máquina infectada podría servir como entrada a un volumen mucho mayor de cuentas y servicios.

La lista de datos de interés también incluye claves privadas y tokens de API. En un entorno donde una clave puede controlar fondos, despliegues de software o acceso a plataformas críticas, el impacto potencial se multiplica.

La amplitud de los objetivos sugiere que los atacantes no solo querían vaciar wallets de forma oportunista. También buscaban persistencia, reventa de accesos y posibles movimientos posteriores sobre cuentas, repositorios y servicios en la nube.

Este patrón encaja con campañas más amplias de robo de credenciales contra desarrolladores cripto. En vez de explotar una falla técnica compleja, los operadores maliciosos aprovechan hábitos cotidianos como clonar repositorios, instalar dependencias o reutilizar secretos en equipos de trabajo.

El trasfondo de una campaña más amplia contra desarrolladores cripto

Investigadores de seguridad creen que hackers norcoreanos están detrás de este ataque. La operación habría formado parte de una campaña mayor conocida como “Contagious Trader”, enfocada en desarrolladores vinculados al sector de criptomonedas.

La hipótesis no aparece aislada. Durante los últimos meses, las firmas de seguridad han descrito un aumento de ataques que combinan ingeniería social, cuentas comprometidas y abuso de ecosistemas de paquetes de software.

La cobertura recordó que en marzo ya se había informado sobre atacantes que tomaron el control de la cuenta de un desarrollador de Axios para publicar paquetes npm maliciosos. Ese episodio mostró cómo un solo acceso robado puede contaminar herramientas confiables para miles de usuarios.

En mayo, otra cuenta comprometida se utilizó para tomar el control de 323 paquetes en menos de 30 minutos. Ese dato ilustra la velocidad con la que una intrusión en el ecosistema npm puede escalar y propagarse.

Los usuarios de Polymarket, además, ya venían enfrentando otros incidentes de seguridad en 2026. A finales de junio, un fraude de phishing drenó USD $2,94 millones desde al menos 11 cuentas, lo que subraya la presión constante sobre comunidades con alta actividad financiera.

Polymarket se ha vuelto un entorno atractivo no solo por el volumen de usuarios, sino por la cultura de experimentación que lo rodea. Traders, analistas y desarrolladores prueban scripts, bots y automatizaciones con rapidez, un hábito que acelera la innovación pero también amplía la superficie de ataque.

Para los operadores maliciosos, este tipo de comunidades ofrece un blanco ideal. Allí convergen usuarios con capital en wallets, conocimientos técnicos suficientes para instalar herramientas complejas y una fuerte motivación por capturar ventajas de mercado antes que otros.

La lección de fondo es que la sofisticación del usuario no elimina el riesgo. En muchos casos, solo cambia el tipo de engaño necesario para que el ataque funcione.

Qué hacer si descargaste o ejecutaste el proyecto

La recomendación de SafeDep es tajante: cualquier computadora que haya ejecutado “npm install” sobre ese bot debe considerarse comprometida. En términos prácticos, eso implica asumir que secretos, sesiones y credenciales almacenadas pudieron haber sido extraídos.

El primer paso sugerido es rotar de inmediato todas las claves de billeteras de criptomonedas que estuvieran en la máquina afectada. En activos autocustodiados, el riesgo no desaparece con solo desinstalar el software o borrar el repositorio.

También se aconseja cambiar todas las contraseñas guardadas en el navegador. Si además había sesiones activas o cookies persistentes, puede ser prudente cerrar sesiones abiertas y revisar los accesos recientes en servicios críticos.

Las credenciales de AWS, las claves SSH y los tokens de API deben reemplazarse sin demora. En entornos profesionales, ese proceso requiere revisar permisos, revocar llaves antiguas y validar si hubo actividad anómala posterior a la instalación del paquete.

Otra medida importante es inspeccionar los archivos de bloqueo de npm en busca de cualquiera de los 30 paquetes maliciosos identificados por la campaña. Esa revisión puede ayudar a confirmar exposición, aunque no sustituye la rotación integral de secretos.

Los desarrolladores también deberían auditar el package.json de proyectos descargados recientemente para detectar dependencias declaradas pero nunca importadas. Esa anomalía no prueba por sí sola una infección, pero sí representa un indicio fuerte de comportamiento sospechoso.

Según el análisis citado, todos los paquetes falsos fueron publicados por cuentas npm recién creadas y sin historial previo. Verificar la antigüedad, reputación y actividad de un mantenedor sigue siendo una defensa básica, pero útil, frente a este tipo de campañas.

Para equipos de desarrollo, el incidente refuerza la necesidad de aplicar controles de cadena de suministro de software. Entre ellos destacan la revisión de dependencias, la ejecución aislada de código desconocido y políticas más estrictas para el manejo de claves privadas en estaciones de trabajo.

En el mundo cripto, donde una sola credencial puede mover fondos o comprometer infraestructura, la seguridad operativa ya no puede tratarse como una tarea secundaria. El falso bot de Polymarket muestra que, a veces, el eslabón más peligroso no es el mercado, sino el software que promete vencerlo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados