El ataque a Tensorlake en npm y la trampa de la revocación de tokens de GitHub

El 8 de octubre de 2026, una cuenta de administrador del repositorio que había sido comprometida introdujo cambios maliciosos en el SDK oficial de Tensorlake, y el propio proceso de compilación del proyecto los publicó en npm como «[email protected]».

Un único gancho de instalación ejecutaba una carga útil diseñada para robar credenciales de desarrolladores, incluidos tokens de GitHub y npm, y se propagaba a través de otros proyectos. El giro más perverso fue que, en el caso de algunos tokens de GitHub robados, configuraba un monitor en segundo plano que intentaba eliminar los archivos del usuario si se revocaba el token.

En este episodio de «The Weak Link», analizamos cómo un código malicioso logró colarse en un proceso de compilación legítimo, por qué una procedencia verificada no garantizaba que el código fuera seguro, cómo saber si el script de instalación se ejecutó realmente y cómo eliminar la amenaza y rotar las credenciales sin agravar el daño.