En julio de 2026, el Equipo Global de Investigación y Análisis de Kaspersky publicó un análisis de un marco de malware al que denomina OkoBot. Este framework ha estado activo por más de un año y seguía operando al momento de la publicación. OkoBot es un conjunto de más de 20 cargas útiles que infectan computadoras con Windows, abren un canal remoto oculto y luego despliegan complementos especializados para tareas específicas.
Kaspersky documentó dos principales vías de entrada del malware: un ataque de ingeniería social llamado "ClickFix" y malware oculto en software descargado desde GitHub. Un ejemplo fue un paquete falso de SQL Server Management Studio que en realidad era el editor de audio Audacity legítimo con una biblioteca maliciosa añadida. Aparecía en los primeros resultados de búsqueda, lo que le daba apariencia legítima y generaba confianza en los usuarios.
Una vez que la víctima ejecuta el archivo trampa, un script de PowerShell llamado TookPS instala un túnel SSH hacia el atacante. Luego, un bot automatizado recolecta archivos de billeteras, cookies de navegador y credenciales, y abre la puerta para cargas útiles más pesadas.
Una de esas cargas útiles nos llamó la atención. Kaspersky la llama SeedHunter, y está diseñada con un solo propósito: robar frases de recuperación de usuarios de billeteras de hardware. Leímos el informe con atención y luego conversamos directamente con los responsables de la seguridad de Tangem para hacer una pregunta clara: ¿SeedHunter puede afectar a Tangem?
¿Qué hace realmente SeedHunter?
SeedHunter monitorea continuamente la lista de procesos en ejecución en una PC con Windows infectada. Busca tres aplicaciones específicas: Trezor Suite, Ledger Live y Ledger Wallet. Cuando detecta una en funcionamiento, inyecta su propio código en ese proceso.
Estas aplicaciones de billetera de escritorio están construidas sobre Electron, un framework que envuelve una página web dentro de una aplicación de escritorio. SeedHunter se engancha en las funciones internas de Electron, lo que le permite modificar lo que muestra la app sin que el usuario lo note. La ventana de la billetera se convierte en el lienzo del atacante.
El malware realiza escaneos periódicos de USB, filtrando por Vendor ID y Product ID, y espera a que se conecte un dispositivo Trezor o Ledger genuino. Kaspersky descubrió que el malware puede esperar una señal de "go" de su servidor de comando o actuar de inmediato, según la bandera que reciba.
Cuando se conecta un dispositivo, el malware muestra una página de phishing predefinida dentro de la app de confianza, con un diseño diferente para cada marca de billetera. La página solicita al usuario que ingrese su frase semilla para "recuperar" o "verificar" la billetera.
El usuario cree que está escribiendo en el software legítimo de su billetera, motivado por el hecho de que su propio dispositivo está conectado. Cuando se ingresa la frase, el malware la captura, la envía a un servidor de comando y también guarda una copia local cifrada. Los fondos luego se vacían a voluntad del atacante.
Otros complementos de OkoBot amplían significativamente el alcance del ataque. OkoSpyware compila una lista de más de 100 aplicaciones objetivo, incluyendo billeteras como Exodus y gestores de contraseñas como 1Password y KeePassXC, luego graba video de sus ventanas usando una copia integrada de FFmpeg y registra cada pulsación de tecla.
El panorama que describe Kaspersky es el de una vigilancia total de la máquina infectada, con una trampa especializada para frases semilla en el centro.
Cuando el atacante no tiene nada que robar
SeedHunter necesita cumplir cuatro condiciones separadas para tener éxito. Frente a una configuración estándar de Tangem, ninguna de las cuatro está presente.
Necesita una frase semilla para intentar el phishing. Esta es la base de todo el ataque. En el modelo estándar de Tangem, la clave privada se genera dentro del elemento seguro certificado de la tarjeta y nunca sale de ahí. Si el usuario no tiene una frase semilla, no hay nada que una página de phishing pueda solicitar.
En segundo lugar, necesita una aplicación de escritorio donde inyectarse. SeedHunter apunta a tres procesos específicos de Windows, todos ellos aplicaciones de escritorio Electron. Tangem no tiene aplicación de escritorio.
En tercer lugar, necesita detectar un dispositivo USB. El disparador del malware es un escaneo USB para los Vendor y Product IDs de hardware de billeteras conocidas. Las tarjetas Tangem se comunican con el teléfono mediante NFC al acercarlas.
Cuarto, necesita un pretexto creíble. Los usuarios de Ledger y Trezor saben que los procesos de recuperación y verificación están integrados en sus apps, por lo que una solicitud de frase les parece rutinaria. El flujo estándar de Tangem nunca pide al usuario que escriba una frase de recuperación. Solo escaneas tu tarjeta o anillo y usas biometría o código de acceso. Una solicitud de frase semilla sería una alerta inmediata para un usuario de Tangem.
Andrey Lazutkin, CTO de Tangem, considera que la propia frase semilla es la debilidad estructural que estos ataques buscan explotar.
"Cuando las personas compran una billetera de hardware, esperan que el dispositivo proteja sus claves privadas. Pero en muchas billeteras tradicionales, el dispositivo primero muestra la frase semilla al usuario y le devuelve la responsabilidad."
"Desde ese momento, el eslabón más débil ya no es la billetera de hardware", continuó. "Es la frase semilla: un papel, una placa metálica, un cajón, una caja fuerte, una foto que nunca se debe tomar, o una frase que puede perderse, dañarse, copiarse, exponerse o ser robada."
Los ataques de phishing siguen apuntando directamente a las frases semilla, porque una vez expuesta, el precio o nivel de seguridad de la billetera de hardware deja de importar.
¿Qué protege al smartphone?
El modelo de Tangem, centrado en dispositivos móviles y anclado en hardware, esquiva estructuralmente a OkoBot. Sin embargo, el malware móvil es una categoría real. Por eso preguntamos cómo la app resiste las tres técnicas principales en las que se apoya OkoBot: superposiciones falsas, keylogging y captura de pantalla.
Según Lazutkin, la app de Tangem ejecuta una pila completa de protecciones en tiempo de ejecución.
verificaciones de integridad en tiempo de ejecución,
anti-debugging,
anti-emulación,
detección de root y jailbreak,
almacenamiento cifrado,
comunicación segura,
validación de certificados,
protección WebView,
protección contra tapjacking,
manejo seguro de entradas.
También añadió permisos minimizados, revisión de código, auditorías y controles de seguridad automatizados. Tres de esas defensas se corresponden directamente con los métodos de OkoBot (tapjacking, keylogging, captura de video).
La protección contra tapjacking es la respuesta móvil a la pantalla falsa de SeedHunter. En móviles, el equivalente a sobrescribir la ventana de una app es superponer una capa invisible o engañosa encima, haciendo que el usuario crea que está tocando una cosa cuando en realidad autoriza otra. La app de Tangem verifica activamente si hay vistas ocultas durante la interacción, para asegurar que ninguna superposición invisible pueda interceptar los toques en áreas sensibles de la app. Un ataque de superposición siempre es detectado y bloqueado.
El manejo seguro de entradas es la defensa contra el keylogger. Los teclados personalizados son un vector común para capturar lo que el usuario escribe, así que la app detecta su uso al ingresar datos sensibles. También desactiva el autocompletado, la corrección ortográfica, el guardado de contraseñas y el texto predictivo en los campos críticos, porque esas funciones pueden almacenar o sugerir información sensible y filtrarla después.
Las capturas de pantalla y grabación de pantalla bloqueadas responden a la captura de video de OkoSpyware. En cualquier parte de la app que muestre datos sensibles, las capturas y grabaciones de pantalla están prohibidas. La técnica que OkoSpyware usa para grabar ventanas de billeteras en PC es bloqueada a nivel del sistema operativo en el teléfono.
OkoBot se propagó a través de un repositorio falso en GitHub que fue indexado por motores de búsqueda y apareció en los primeros lugares para búsquedas comunes de software. Los usuarios que buscaban una herramienta legítima encontraban primero la maliciosa.
También utilizó una dependencia troyanizada. Kaspersky rastreó la carga útil final hasta una protobuf.dll maliciosa incluida con una utilidad open source, que parecía idéntica a la biblioteca legítima pero, al descifrarse, lanzaba el despachador real de plugins en segundo plano.
Cuando un programa legítimo cargaba la biblioteca, también cargaba el malware. Esta es la misma categoría de ataque que ha afectado a grandes proyectos de software: envenenar una dependencia de confianza y todo lo que dependa de ella hereda el problema.
Preguntamos a Anton Afanasyev, CISO de Tangem, cómo protege Tangem su pipeline de desarrollo contra este tipo de ataques.
"Usamos una combinación de medidas", comentó. La primera es reducir la dependencia de código externo en las partes más críticas. "Hicimos fork o reescribimos algunas de las bibliotecas externas requeridas, especialmente las más importantes." Una biblioteca bifurcada y mantenida internamente no puede ser reemplazada silenciosamente por una versión troyanizada como ocurre con dependencias públicas descargadas sin control.
La segunda capa es la disciplina de procesos. "Tenemos un proceso de desarrollo seguro, que incluye revisiones de vulnerabilidades en todas las dependencias, una ventana de actualización controlada, revisión de código, y más." Esa ventana controlada de actualizaciones es clave: las dependencias no se actualizan automáticamente cuando sale una nueva versión, que es justamente cuando un paquete comprometido puede causar daño. Las actualizaciones se revisan y se admiten de forma deliberada.
También preguntamos a Lazutkin sobre la posibilidad de una actualización maliciosa enviada no a través de una dependencia, sino mediante la tienda oficial de apps, usando credenciales de desarrollador robadas.
Para que ese ataque tenga éxito, explicó, "un atacante tendría que comprometer nuestras credenciales de desarrollador, evadir el MFA y los controles internos de acceso, pasar el proceso de aprobación de lanzamientos, inyectar código malicioso en la versión oficial, superar la revisión de Apple o Google, mantener la identidad oficial de la app, evitar la detección de malware de la plataforma y pasar inadvertido para nuestro equipo, sistemas de monitoreo y la comunidad open source."
Campaña de monitoreo de amenazas
OkoBot posicionó un repositorio falso en los resultados de búsqueda e imitó marcas de confianza para ganarse la credibilidad del usuario. Defenderse de esta estrategia de distribución requiere monitoreo constante. Preguntamos a Afanasyev cómo detecta Tangem apps falsas, repositorios falsos y páginas de phishing que imitan nuestra marca.
"Tangem monitorea inteligencia de amenazas de seguridad y canales de noticias sobre familias de malware y campañas relevantes para sus usuarios, y yo personalmente superviso esta vigilancia." Sobre el lado de falsificaciones e imitaciones, agregó: "Monitoreamos estos casos revisando varios recursos y tiendas no oficiales de apps Android, incluyendo GitHub."
Los retiros de sitios de phishing funcionan con dos insumos que trabajan juntos. "Nuestros usuarios reportan sitios de phishing y cuentas falsas en redes sociales y mensajería", explicó Afanasyev. El segundo insumo es confidencial. Cuando se identifica un recurso de phishing, Tangem coordina con las partes responsables para gestionar el retiro.
Guardamos la pregunta más directa para el final. ¿Algún stealer o spyware conocido ha añadido la app de Tangem a su lista de vigilancia, como hace OkoSpyware con MetaMask y Tonkeeper?
"Hasta ahora, no tenemos conocimiento de ningún malware móvil de ese tipo", respondió Afanasyev. Fue preciso sobre lo que sí existe. En escritorio, los atacantes han realizado campañas invitando a los usuarios a descargar una supuesta app "Tangem Desktop". "Son virus convencionales que solo abren acceso remoto a la computadora de la víctima." No es un ladrón de frases semilla dirigido como SeedHunter. Los atacantes recurren a malware de acceso remoto genérico porque el ataque especializado no tiene objetivo.
La conclusión
SeedHunter es un ataque bien diseñado contra una arquitectura específica: una aplicación de billetera de escritorio conectada a un dispositivo físico por USB que, en algún momento, muestra una frase semilla al usuario.
Tangem no está diseñado con ninguno de esos tres puntos. Así que el complemento más sofisticado del framework llega a la puerta de un usuario de Tangem y no encuentra nada que hacer. Busca billeteras USB que no existen. Espera inyectarse en procesos de escritorio que no están presentes. Está listo para intentar robar una frase que nunca fue escrita.
Este resultado es la consecuencia directa y predecible de una filosofía de seguridad que elimina componentes en vez de agregarlos, y que mantiene lo único realmente importante, la clave privada, sellada dentro de un chip que nunca tiene que confiar en la computadora con la que interactúa.
Sin embargo, siguen existiendo responsabilidades reales para el usuario. Un usuario que importa una frase semilla externa en Tangem y guarda una copia en papel ha reintroducido exactamente el eslabón débil que SeedHunter busca, y puede ser víctima de phishing por esa frase a través de otros canales.
