Atacantes secuestran apps del Snap Store de Linux para robar frases cripto

21 de enero de 2026

Ciberdelincuentes han comprometido aplicaciones confiables de Linux en el Snap Store al apoderarse de dominios caducados, lo que les permite distribuir malware que roba frases de recuperación de criptomonedas. Expertos en seguridad de SlowMist y el colaborador de Ubuntu Alan Pope destacaron el ataque, que apunta a cuentas de editores establecidos para distribuir actualizaciones maliciosas que suplantan billeteras populares. Canonical ha eliminado los snaps afectados, pero persisten las llamadas a mayores salvaguardas.

El Snap Store de Linux, objetivo de un sofisticado esquema de robo de criptoactivos a Linux Snap Store targeted in sophisticated crypto theft scheme Cyber atacantes han explotado el Snap Store, el repositorio de Canonical para paquetes de software de Linux, para distribuir malware disfrazado de billeteras de criptomonedas legítimas. Al registrar dominios caducados previamente vinculados a editores genuinos, los hackers obtienen acceso a cuentas inactivas de Snapcraft y suben actualizaciones maliciosas que recolectan las frases de recuperación de las billeteras de los usuarios. Alan Pope, exdesarrollador de Canonical y colaborador de Ubuntu, advirtió por primera vez sobre esta táctica el 21 de enero de 2026. Detalló cómo los atacantes tomaron el control de dominios como storewise.tech y vagueentertainment.com, utilizando servidores de correo asociados para restablecer credenciales. «Los snaps maliciosos parecían normales pero estaban diseñados para recolectar frases de recuperación de [billeteras cripto] y enviarlas a servidores controlados por los atacantes», explicó Pope. Para cuando los usuarios notan problemas, sus fondos suelen haber sido drenados. La firma de seguridad blockchain SlowMist hizo eco de estas preocupaciones en una publicación en X del director de seguridad de la información 23pds. La firma señaló que las apps comprometidas imitan interfaces de billeteras populares como Exodus, Ledger Live y Trust Wallet, incitando a los usuarios a ingresar frases semilla sensibles durante la instalación o actualizaciones. «Los atacantes están abusando de dominios caducados para secuestrar cuentas de editores de larga data en el Snap Store y distribuir actualizaciones maliciosas a través de canales oficiales», afirmó 23pds. Este método se basa en abusos previos del Snap Store, incluyendo cuentas falsas y tácticas de cambio de cebo con nombres de apps inofensivos como lemon-throw. SlowMist destacó la naturaleza de cadena de suministro del ataque, alineándose con tendencias de 2025 donde los hacks de cripto causaron pérdidas de 3.300 millones de dólares, según datos de CertiK, con incidentes de cadena de suministro representando 1.450 millones de dólares. Canonical eliminó rápidamente los snaps maliciosos tras los informes de Pope y otros. Sin embargo, Pope criticó los retrasos en las eliminaciones, que pueden tomar días, y urgió mejores verificaciones: monitoreo de caducidades de dominios, autenticación de dos factores obligatoria y revisiones de cuentas inactivas. También lanzó SnapScope, una herramienta web para escanear snaps en busca de vulnerabilidades. Se aconseja a los usuarios descargar billeteras cripto directamente de sitios oficiales y habilitar 2FA en cuentas. Los editores deben renovar dominios puntualmente. Help Net Security contactó a Canonical sobre mejoras planeadas, con actualizaciones pendientes. Este incidente subraya las crecientes amenazas a los canales de distribución de software, erosionando la confianza en las tiendas de apps a medida que los atacantes prefieren exploits de alto impacto sobre vulnerabilidades directas en el código.

Qué dice la gente

Discusiones en X advierten a usuarios de Linux sobre un ataque de cadena de suministro en el Snap Store donde atacantes secuestraron cuentas de editores vía dominios caducados para distribuir actualizaciones falsas de billeteras cripto que roban frases semilla. Expertos en seguridad como SlowMist destacan riesgos para usuarios de larga data de apps como Exodus y Ledger Live. Las reacciones instan a verificar snaps, mover fondos y mayores salvaguardas de Canonical. Algunos expresan frustración con las prácticas de seguridad de Linux.

Linux用户注意：Snap Store爆发新型攻击，过期域名变黑客后门盗取用户加密资产。
篡改的应用伪装成 Exodus、Ledger Live 或 Trust Wallet 等知名加密钱包，诱导用户输入“钱包恢复助记词”，导致资金被盗。https://t.co/PaHiXCbfUU

— 23pds (山哥) (@im23pds) January 21, 2026

Your Linux Wallet Just Got Hacked (And You Didn't Even Notice)

If you're running crypto wallets on Linux, listen up.

Security firm SlowMist just exposed a massive attack hiding in plain sight.

Hackers compromised the Snap Store - Linux's official app marketplace.

They…

— Dan @BeAWhale (@BeAWhale_io) January 21, 2026

📈 Crypto Update: SlowMist flags Linux Snap Store attack targeting crypto seed phrases

Ugh, people really gotta watch their backs, even on Linux. Scam artists are *always* tryna get at your seed phrases, so stay sharp, fam. pic.twitter.com/T9HPvgoUG2

— Jessica (@koynlabs) January 21, 2026

SlowMist uncovers a Linux Snap Store supply chain attack where hijacked publishers pushed wallet updates to steal crypto seed phrases from longtime users. Check if your snaps are compromised. #Linux #CyberSecurity #Crypto #Infosec https://t.co/RX1jE8mnef

— Token Talk (@TokenTalkin) January 21, 2026

🚨 Genius Linux Users Swap Security For Malware Because Clicking Install Is Easier Than Thinking

Malicious actors are uploading info-stealers to the Canonical Snap Store by masquerading as legitimate software updates to compromise the Linux supply chain.

While the Kremlin’s…

— TermsofSurrender (@Aftershockindex) January 20, 2026

Fuentes

• https://www.helpnetsecurity.com/2026/01/21/linux-malware-snap-store/
• https://www.tradingview.com/news/cointelegraph:1ee6337ac094b:0-slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases/
• https://www.fxstreet.com/amp/cryptocurrencies/news/slowmist-flags-linux-snap-store-attack-targeting-crypto-seed-phrases-202601211212