Un mal pegado y adiós a tus criptomonedas: cae la botnet Sality

Una conocida red informática utilizada durante 23 años para actividades de ciberdelincuencia ha sido desmantelada. El llamado botnet Sality se empleó a lo largo de los años en distintos tipos de ataques y, más adelante, también puso en el punto de mira a usuarios de Bitcoin (BTC) y Ethereum (ETH).

La empresa de ciberseguridad CrowdStrike colaboró con autoridades policiales de Estados Unidos y Europa para neutralizar la red. Hasta ahora, más de 15.000 ordenadores infectados han sido desconectados.

Para robar criptomonedas, los delincuentes utilizaban una técnica sencilla, pero especialmente engañosa. El malware modificaba las direcciones de monederos copiadas, de modo que las víctimas enviaban sin darse cuenta sus Bitcoin o Ethereum a los atacantes.

Una técnica simple desviaba criptomonedas a los delincuentes

Sality apareció ya en 2003, años antes de que existiera Bitcoin. En un primer momento, el botnet se utilizó, entre otras cosas, para robar credenciales, distribuir spam y ejecutar otros ciberataques.

Más adelante, la red también se empleó para robar criptomonedas. Para ello, los delincuentes usaban malware que vigilaba el portapapeles de los ordenadores infectados, el espacio donde se almacena temporalmente el texto copiado.

Quien envía criptomonedas suele copiar la larga dirección del monedero del destinatario. El malware se aprovechaba de ese hábito. En cuanto se copiaba una dirección de Bitcoin o Ethereum, podía sustituirla de forma imperceptible por la dirección del monedero del atacante.

La víctima pegaba después la dirección incorrecta en su monedero. Si no volvía a comprobar los datos y confirmaba la transacción, enviaba sus criptomonedas directamente a los delincuentes.

CrowdStrike calcula que con este método se robaron al menos 150.000 dólares en criptomonedas. Una parte no se vendió de inmediato. Gracias a las subidas posteriores del mercado, el valor de un monedero con criptomonedas robadas alcanzó en enero de 2025 unos 1,35 millones de dólares.

Por qué Sality pudo sobrevivir 23 años

La larga actividad de Sality se explica sobre todo por la forma en que estaba diseñada la red. Muchos botnets dependen de servidores centrales con los que los delincuentes controlan los ordenadores infectados. Si uno de esos servidores se desactiva, la red puede venirse abajo rápidamente.

En el caso de Sality, los ordenadores infectados se comunicaban directamente entre sí. Por eso no había un servidor central que las autoridades pudieran simplemente retirar de internet.

CrowdStrike logró finalmente usar esa arquitectura contra los propios delincuentes. Los investigadores consiguieron que los ordenadores infectados se conectaran a servidores bajo su control. Así se desconectaron de la red criminal más de 15.000 dispositivos en todo el mundo.

También intervinieron varias autoridades policiales. Las autoridades estadounidenses incautaron dominios vinculados a Sality. Además, cuerpos policiales de Bulgaria, Hungría y Rumanía desactivaron servidores.

Con todo, el riesgo no ha desaparecido por completo. Desconectar un ordenador no significa necesariamente que el software malicioso haya sido eliminado del dispositivo. Por ello, los proveedores de internet están intentando alertar a los propietarios de los equipos infectados.