HP Wolf Security descubrió un falso asistente de trading de criptomonedas basado en IA que distribuía Needle Stealer mediante un archivo ZIP malicioso y sustituía siete extensiones de wallets de navegador en equipos Windows infectados. La campaña utilizó técnicas de manipulación de buscadores y anuncios de pago para promocionar tradingclaw[.]pro. La actividad fue incluida en el informe de amenazas de HP de septiembre, elaborado a partir de amenazas observadas entre abril y junio de 2026.
Por qué es importante
El instalador utilizaba un ejecutable legítimo de Microsoft OLEView con firma digital para ayudar a eludir SmartScreen, mientras una DLL maliciosa cargaba el stealer mediante process hollowing. Needle Stealer comprobaba los ID de extensión de Chromium correspondientes a Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
Tras encontrar un objetivo, el malware cerraba el navegador e insertaba una extensión falsa en la carpeta existente. La sustitución se conectaba a una infraestructura controlada por los atacantes, cargaba dominios de respaldo y mostraba pantallas de inicio de sesión de wallets realistas diseñadas para capturar credenciales. HP señaló que la operación comenzaba con un equipo comprometido, no con una intrusión en Coinbase, MetaMask o sus extensiones oficiales.
Impacto en el mercado
La campaña supone un riesgo de seguridad directo para los usuarios que descargan herramientas de trading con IA no verificadas, especialmente cuando los anuncios en buscadores hacen que un instalador malicioso parezca legítimo. Malwarebytes había documentado anteriormente la campaña TradingClaw y vinculó Needle Stealer con otros cargadores de malware, lo que indica que el falso asistente era una de las vías de distribución dentro de una operación más amplia.
HP no reveló el número total de víctimas de la campaña ni una cifra agregada de pérdidas en criptomonedas. Los usuarios deberían considerar de alto riesgo las aplicaciones de wallets y los asistentes de trading con IA no oficiales, verificar quién publica las extensiones y evitar introducir credenciales de la wallet en una interfaz sustituta desde un dispositivo comprometido.
Preguntas frecuentes
-
¿Cómo infectó la falsa herramienta de trading con IA los equipos Windows?
Los atacantes promocionaron tradingclaw[.]pro mediante manipulación de buscadores y anuncios de pago. Las víctimas descargaban un ZIP con un ejecutable OLEView de apariencia confiable y una DLL maliciosa que cargaba Needle Stealer.
-
¿Qué extensiones de wallets atacó el malware?
Needle Stealer buscaba Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask y Tonkeeper.
-
¿Cómo sustituyó el malware las extensiones de wallets del navegador?
Identificaba las extensiones de Chromium objetivo por sus ID de 32 caracteres, cerraba el navegador e insertaba una extensión maliciosa en la carpeta de extensiones existente.
-
¿Sufrieron Coinbase o MetaMask una intrusión oficial en esta campaña?
No. HP describió el incidente como un compromiso de un equipo Windows infectado, no como una intrusión en Coinbase, MetaMask o sus extensiones oficiales.
-
¿Informó HP de cuánto dinero en criptomonedas fue robado?
No. HP no reveló el número total de víctimas de la campaña ni una cifra agregada de pérdidas en criptomonedas.
CoinDesk
CoinTelegraph
Crypto News
Lookonchain
TheBlock