Alerta en el ecosistema: vulnerabilidad en React desata drenaje masivo de billeteras cripto

Un fallo silencioso en una biblioteca fundamental pone en jaque la seguridad de miles de carteras digitales. La comunidad desarrolladora se moviliza mientras los usuarios reportan pérdidas.

El punto de entrada

La vulnerabilidad no estaba en los protocolos blockchain, sino en una capa anterior: el código de la interfaz. Componentes populares de React, utilizados por numerosos frontends de billeteras y DApps, contenían una puerta trasera que los actores maliciosos explotaron de forma sistemática. No fue un hackeo al consenso, sino un ataque a la herramienta que usan los usuarios para interactuar con la cadena.

La velocidad del contagio

El exploit se propagó a la velocidad de un meme en Twitter. Scripts maliciosos, camuflados como actualizaciones legítimas o integraciones útiles, comprometían la sesión del navegador. Una vez inyectado, el código interceptaba las solicitudes de transacción, redirigiendo fondos a direcciones controladas por los atacantes antes de que el usuario pudiera notar la discrepancia en la pantalla de confirmación.

Respuesta y mitigación

Los equipos de seguridad reaccionaron con parches de emergencia, pero el daño ya estaba en marcha. La recomendación inmediata fue clara: revisar todas las dependencias, revocar permisos de conexión a sitios web y, en casos extremos, migrar fondos a hardware wallets o a nuevas direcciones generadas en entornos limpios. Un recordatorio brutal de que en cripto, tu seguridad es tan fuerte como su eslabón más débil—y a veces ese eslabón es un paquete NPM que instalaste hace seis meses.

Lección para el futuro bull market

Estos episodios, aunque dolorosos, forjan un ecosistema más resistente. Cada vulnerabilidad expuesta y parcheada es un paso menos que los actores maliciosos pueden explotar en el próximo ciclo. La seguridad se está desplazando agresivamente hacia la verificación formal y las auditorías automatizadas, no solo de los contratos inteligentes, sino de toda la pila tecnológica que los rodea. Porque en la carrera hacia la adopción masiva, la confianza del usuario es el activo más valioso—y el más frágil. Al menos los fondos en los bancos tradicionales solo los drena la FSA con impuestos e inflación, no una línea de código en un repositorio público.

Los servidores React sin parches corren el riesgo de sufrir ataques de ejecución remota de código

El equipo de React emitió un aviso indicando que la vulnerabilidad, conocida como React2Shell y catalogada como CVE-2025-55182, permite a los atacantes ejecutar código de forma remota en servidores comprometidos sin necesidad de autenticación. Los responsables de mantenimiento de React informaron de la vulnerabilidad el 3 de diciembre y le asignaron la máxima gravedad posible.

Según el equipo de React, CVE-2025-55182 afecta a los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack en las versiones 19.0, 19.1.0, 19.1.1 y 19.2.0.

Drenadores de criptomonedas que utilizan React CVE-2025-55182

Estamos observando un gran aumento en los drenadores cargados en sitios web legítimos (cripto) a través de la explotación del reciente CVE de React.

Todos los sitios web deberían revisar el código frontend para detectar cualquier activo sospechoso AHORA.

— Alianza de Seguridad (@_SEAL_Org) 13 de diciembre de 2025

SEAL instó a que «todos los sitios web revisen su código frontend para detectar activos sospechosos AHORA». El SEAL también indicó que los usuarios deben tener cuidado al firmar cualquier firma de permiso relacionada con criptomonedas, ya que todos los sitios web, no solo los que utilizan Web3 , son vulnerables.

Según SEAL, todos los equipos de desarrollo web deben analizar los hosts en busca de CVE-2025-55182 y comprobar si su código carga recursos inesperadamente desde hosts desconocidos. Seal también indicó que los equipos deben confirmar que la billetera muestre el destinatario correcto en la solicitud de firma. Los equipos también deben determinar si alguno de los scripts cargados por su código es JavaScript ofuscado.

Poco después de la divulgación de CVE-2025-55182, SEAL encontró dos vulnerabilidades más en React Server Components durante las pruebas del parche anterior. Según el blog de React, SEAL divulgó CVE-2025-55184 y CVE-2025-67779 (CVSS 7.5), identificadas como vulnerabilidades de denegación de servicio y de gravedad alta divulgó dent dent los investigadores como vulnerabilidad de exposición del código fuente y de gravedad media.

El equipo de React recomendó que todos los sitios web deberían actualizarse inmediatamente debido a la gravedad de las vulnerabilidades recientemente reveladas.

Según el aviso de JS, la vulnerabilidad de denegación de servicio,dentcomo CVE-2025-55184, permite a los atacantes crear solicitudes HTTP maliciosas y enviarlas a cualquier punto final de App Router o Función de Servidor. El informe explica además que estas solicitudes crean un bucle infinito que bloquea el proceso del servidor e impide que se atiendan futuras solicitudes HTTP.

Según el Sistema de puntuación de vulnerabilidades común (CVSS), CVE-2025-55184 tiene una puntuación de gravedad alta de 7,5 sobre 10.

CVE-2025-55183, la segunda vulnerabilidad de fuga de código fuente, tiene una calificación de gravedad media de 5,3 sobre 10.

Según Next.js, la cadena de explotación sería similar. Next.js explicó que un endpoint vulnerable recibe una solicitud HTTP especialmente diseñada del atacante, que devuelve el código fuente de cualquier función del servidor. El equipo de Next.js advirtió que la divulgación del código fuente generado podría exponer secretos codificados y la lógica de la empresa.

Los drenadores de criptomonedas perfeccionan sus tácticas de evasión para el robo sigiloso de criptomonedas

El aumento de drenadores, facilitado por la vulnerabilidad de React, coincide con la prueba de nuevas estrategias por parte de los operadores de drenadores que roban criptomonedas y sus afiliados para evadir la detección y explotar las billeteras de criptomonedas .

Según especialistas en seguridad criptográfica de la Alianza de Seguridad (SEAL), los afiliados de los drenadores utilizan dominios de alta reputación para páginas de destino y alojamiento de carga útil, reinscriben dominios previamente válidos e implementan sofisticadas técnicas de identificación. Los investigadores de seguridad afirmaron que el objetivo es difundir drenadores de criptomonedas, un fragmento de JavaScript dañino que se inyecta en sitios web de phishing, y frustrar a los investigadores de seguridad.

SEAL dijo que las tácticas de evasión varían entre los afiliados de una familia particular de drenadores y no se aplican de manera consistente a nivel de servicio de drenadores.

En otro escenario de delito con criptomonedas, DeFi Aevo (anteriormente Ribbon Finance) anunció el domingo el robo de 2,3 millones de dólares de sus bóvedas. DeFi Anton Cheng, afirmó que la causa principal de la filtración fue un código actualizado de Oracle, que permitía a cualquiera fijar precios para nuevos activos.

Únase a una comunidad premium de comercio de criptomonedas gratis durante 30 días (normalmente $100/mes).