Falsos reclutadores de Web3 infectan con malware a desarrolladores blockchain que buscaban trabajo

La búsqueda de empleo en el sector Web3 y blockchain se ha convertido en un terreno minado. Investigadores de la firma de ciberseguridad SlowMist destaparon a finales de julio de 2026 una campaña de reclutadores falsos que utiliza entrevistas de trabajo simuladas como vector de ataque para instalar malware capaz de robar credenciales, contraseñas de navegador y, sobre todo, el acceso a monederos de criptomonedas.

Una entrevista falsa como puerta de entrada

El esquema, documentado por Cyber Security News a partir de la investigación de SlowMist, funciona así: los atacantes se hacen pasar por reclutadores en plataformas de empleo y redes profesionales, contactan a desarrolladores Web3 y blockchain, y en algún momento del proceso les piden instalar «Relay» (distribuido desde el dominio relay.lc), una supuesta aplicación moderna de videollamadas para entrevistas remotas.

En macOS, a la víctima se le indica que abra la Terminal, arrastre un archivo y pulse Enter — una instrucción que, en apariencia inocente, ejecuta un programa oculto que copia una carga maliciosa, elimina las marcas de seguridad del sistema y se lanza en segundo plano sin ningún icono visible. En Windows, un instalador muestra una barra de progreso falsa de «actualización» que, al llegar aproximadamente al 80%, intenta lanzar en silencio un componente sin firmar con permisos de administrador.

Por qué el objetivo son los perfiles sénior de Web3

El malware no busca cualquier dato: va tras contraseñas y cookies del navegador, extensiones de monederos cripto, sesiones activas de Telegram, credenciales del sistema y notas de Apple Notes que puedan contener frases semilla (seed phrases) o material para desbloquear monederos de escritorio. SlowMist documentó once muestras distintas del malware, tanto para macOS como para Windows.

El perfil buscado es precisamente el que este sector necesita con más urgencia: desarrolladores blockchain, ingenieros de contratos inteligentes y especialistas en seguridad Web3 con experiencia, que suelen tener acceso directo a activos digitales de valor y credenciales sensibles de proyectos en producción. La paradoja es dolorosa: cuanto más senior y cotizado es el candidato, más atractivo resulta como blanco.

Un reporte paralelo sobre pérdidas por estafas cripto durante 2025 —que superaron los 17.000 millones de dólares según cifras citadas por medios especializados del sector— sitúa la entrevista de trabajo falsa como uno de los frentes de ataque de mayor crecimiento, desplazando a técnicas más tradicionales de phishing.

Un problema que se suma a la escasez de talento

Para las empresas Web3 que ya luchan por encontrar perfiles senior confiables, este tipo de campañas añade fricción adicional al proceso de contratación: candidatos legítimos que reciben ofertas reales dudan cada vez más de cualquier solicitud de instalar software durante una entrevista, y los equipos de seguridad recomiendan verificar exhaustivamente el dominio y la identidad del reclutador antes de aceptar cualquier videollamada «especial».

Fuente: Cyber Security News, «Fake Recruiters Target Web3 Developers Through Trusted Bitbucket and npm Workflows» (en inglés, basado en investigación de SlowMist, publicado el 29 de julio de 2026).