Reclutadores falsos, malware real: la nueva trampa que persigue a los desarrolladores Web3 y cripto en busca de empleo

La búsqueda de empleo se ha convertido en un vector de ataque para los desarrolladores de Web3 y criptomonedas. Según un informe de los analistas de SlowMist, recogido en inglés por el medio especializado Cyber Security News, una campaña activa de reclutadores falsos está utilizando entrevistas de trabajo simuladas para distribuir un software que roba información (infostealer) disfrazado de aplicación de videollamadas con inteligencia artificial.

Cómo opera el engaño

El patrón es siempre el mismo: alguien que se presenta como reclutador contacta a un desarrollador Web3, avanza una conversación aparentemente normal sobre una vacante y, en algún momento del proceso, pide instalar un cliente de videollamadas llamado “Relay” desde el dominio relay.lc para continuar con la entrevista técnica.

• En macOS, se le indica a la víctima que abra la Terminal y ejecute un archivo arrastrado manualmente. El instalador no contiene ninguna aplicación real: en su lugar, muestra una falsa alerta de error que solicita la contraseña del sistema y, con ella, accede al llavero de contraseñas (Keychain) del equipo.
• En Windows, una barra de progreso simula una actualización mientras en segundo plano se lanza un ejecutable sin firma digital, con privilegios de administrador y ventana oculta, que se camufla con nombres de actualizaciones del sistema para persistir tras el reinicio.

Una vez dentro, el malware no necesita explotar ninguna vulnerabilidad técnica: busca directamente contraseñas guardadas en el navegador, extensiones de monederos cripto, sesiones activas de Telegram y notas del sistema. En Windows, además, escanea la memoria de las extensiones de Chrome y Brave en busca del material de desbloqueo de wallets.

Por qué el talento senior es el objetivo

A diferencia de otros fraudes de empleo genéricos, esta campaña está dirigida específicamente a perfiles técnicos con acceso a activos digitales de alto valor: desarrolladores de contratos inteligentes, ingenieros de protocolos y especialistas en seguridad Web3 que, por la naturaleza de su trabajo, suelen tener monederos personales y corporativos configurados en el mismo equipo que usan para programar. Una sola máquina comprometida puede exponer tanto ahorros personales como secretos de producción guardados en herramientas cotidianas de desarrollo.

El informe de SlowMist no precisa cuántas víctimas ha dejado la campaña hasta ahora, pero sí documenta varios dominios, URLs y archivos ejecutables asociados, lo que sugiere una operación sostenida en el tiempo y no un incidente aislado.

La lección para quienes buscan empleo en el sector

Para el talento senior en ciberseguridad y Web3 —precisamente el perfil que las empresas más necesitan y más cuesta encontrar— el episodio añade una capa adicional de desconfianza a un proceso de selección ya desgastado por el ghosting, las pruebas técnicas interminables y las ofertas fantasma. La recomendación de los analistas es tajante: cualquier solicitud inesperada de instalar software durante un proceso de entrevista, por legítima que parezca la videollamada, debe tratarse como potencialmente hostil. Si la instalación ya se ejecutó, lo prioritario es desconectar el equipo de la red, cambiar todas las contraseñas desde un dispositivo limpio y mover los fondos de los monederos afectados a claves nuevas cuanto antes.

Fuente: Cyber Security News – “Fake Recruiters Target Web3 Developers Through Trusted Bitbucket and npm Workflows” (reporte original en inglés, basado en el análisis de SlowMist).