Un fallo crítico en Chrome podría vaciar carteras de criptomonedas al permitir la ejecución de código arbitrario desde el navegador. La vulnerabilidad, identificada como CVE-2025-10585 y ubicada en el motor V8, expone claves privadas y fondos a ataques remotos. Charles Guillemet, CTO de Ledger, advierte que es obligatoria una actualización inmediata a la versión 140.0.7339.185/.186 o posterior, especialmente para usuarios de carteras en navegador y quienes interactúan con dApps sin aislamiento adicional.
Contexto e Impacto del Exploit en Chrome
La falla es un bug de «type confusion» en el motor JavaScript y WebAssembly V8, que permite que el navegador trate un tipo de dato como otro y rompa barreras del sandbox, posibilitando la ejecución de código malicioso desde una página web. Google parcheó la vulnerabilidad tras detectarla y lanzó la actualización de seguridad para reducir el riesgo.
El riesgo es real y activo: ya existen campañas de malware dirigidas a carteras en navegador. Se mencionan casos como ModStealer y extensiones maliciosas GreedyBear, que en un episodio lograron sustraer cerca de $1 millón. También se citan explotaciones a gran escala en exchanges y DEX, con pérdidas reportadas de $81 millones en Nobitex, $27 millones en BigONE y $260 millones en Cetus DEX, demostrando la capacidad de los atacantes para convertir vulnerabilidades en pérdidas multimillonarias.
Implicaciones y Medidas de Mitigación
Combinada con vectores habituales —extensiones maliciosas, páginas de phishing o dApps comprometidas—, la explotación puede derivar en extracción de credenciales o firmas de transacciones fraudulentas en navegadores sin parchear.
Medidas clave para usuarios y equipos de seguridad:
-
Actualizar Chrome inmediatamente a la versión 140.0.7339.185/.186 o posterior.
-
Minimizar el uso de carteras en navegador sin hardware wallet; estas aislan las claves privadas del navegador.
-
Revisar y auditar extensiones instaladas, dado que ataques previos han utilizado extensiones para robar fondos.
-
Verificar URLs y permisos al conectar una cartera a un sitio web o dApp.
Claves del Caso
-
Vulnerabilidad: CVE-2025-10585, un «type confusion» en V8.
-
Parche: actualización a Chrome 140.0.7339.185/.186 o posterior.
-
Vectores observados: extensiones maliciosas, malware dirigido a wallets y páginas comprometidas.
-
Precedentes: robos por extensiones y exploits a exchanges/DEX con pérdidas multimillonarias.
La acción inmediata y verificable es instalar el parche de Google. Además, se recomienda reforzar la defensa en profundidad, incluyendo el uso de hardware wallets, control de extensiones y hábitos de navegación seguros, mientras se vigilan comunicados oficiales sobre nuevas variantes o exploits relacionados con CVE-2025-10585.
