Tu decodificador de TV se lanzó a la ciberguerra (y de paso rompió el anonimato en Internet)

La red anónima I2P empezó a funcionar con interrupciones recientemente, y los usuarios notaron rápidamente que no se trataba de una falla habitual. La red se saturó por una enorme cantidad de nodos nuevos que se conectaban pero casi no transmitían datos. Más tarde se supo que esto fue el resultado del intento del gran botnet Kimwolf de integrarse en la infraestructura de I2P.

Kimwolf apareció a finales de 2025 y en poco tiempo infectó millones de dispositivos mal protegidos. Se trata de decodificadores de televisión, marcos digitales para fotos, enrutadores domésticos y otros aparatos. Los dispositivos infectados se usan como nodos intermedios para tráfico malicioso y para potentes ataques distribuidos de denegación de servicio.

I2P es una red cifrada descentralizada para comunicación anónima e intercambio de datos. Funciona gracias a nodos voluntarios que reenvían el tráfico entre sí a través de varias capas de cifrado y ocultan las direcciones del remitente y del destinatario. La red se utiliza para sitios privados, mensajería y transferencia de archivos sin revelar la identidad.

El 3 de febrero los usuarios de I2P comenzaron masivamente a escribir en la página del proyecto sobre el brusco aumento del número de nuevos enrutadores en la red. Se trataba de decenas de miles de nodos que se conectaban pero no transmitían datos. Por ello las conexiones normales empezaron a fallar, y en algunos casos incluso los dispositivos domésticos se sobrecargaron. Uno de los participantes en la discusión informó que su enrutador físico se bloquea cuando el número de conexiones supera las 60 000.

Los desarrolladores publicaron un gráfico que muestra una caída brusca de las conexiones exitosas aproximadamente en el mismo momento en que los responsables del botnet empezaron a usar I2P como canal de comunicación de reserva. En su canal de Discord los operadores reconocieron que ellos mismos dañaron el funcionamiento de la red cuando intentaron añadir en ella alrededor de 700 000 nodos infectados.

Aunque Kimwolf es conocido sobre todo como una herramienta para ataques de denegación de servicio, en este caso se produjo lo que se conoce como un ataque de Sybil. En las redes peer-to-peer se denomina así a la situación en la que un participante crea un número enorme de nodos falsos y con ello rompe el funcionamiento normal de todo el sistema. La escala de conexión de los dispositivos infectados superó varias veces el tamaño habitual de la red I2P.

Según datos públicos, anteriormente en I2P había alrededor de 55 000 equipos en todo el mundo. Uno de los creadores de la red, Lance James, dice que ahora diariamente funcionan en ella entre aproximadamente 15 000 y 20 000 dispositivos. Frente a estas cifras, el intento de añadir cientos de miles de nodos pareció una inundación digital.

El investigador Benjamin Brandaj, que estudia servicios proxy y fue el primero en describir las características de la propagación de Kimwolf, considera que los operadores del botnet buscan un sistema de mando resistente que sea difícil de desactivar mediante esfuerzos conjuntos de empresas de seguridad y operadores de telecomunicaciones. Intentan usar I2P y la red Tor como canales de control de reserva. No se han registrado fallos notables en la red Tor en los últimos días. Según su evaluación, el objetivo no era derribar I2P, sino mantener el control del botnet ante intentos de bloqueo.

A finales del año pasado Kimwolf ya causó problemas a grandes empresas de redes. Millones de dispositivos infectados recibieron la orden de usar ciertas configuraciones de servicios de nombres de dominio, por lo que los dominios de control del botnet ascendieron en los rankings públicos de las direcciones más solicitadas, superando a los sitios de las mayores corporaciones tecnológicas.

Actualmente la red I2P continúa funcionando a aproximadamente la mitad de su capacidad habitual. Los desarrolladores están lanzando una actualización que debería aumentar la resiliencia en los próximos días. Hay además otro giro curioso. Según Brandaj, dentro del grupo que gestiona Kimwolf surgió un conflicto y parte de los desarrolladores más capacitados se marchó. Debido a errores de configuración, el número de dispositivos infectados se redujo en más de 600 000 en el transcurso de una semana. Según las observaciones de los investigadores, los operadores del botnet actúan al azar y pierden el control de su propia herramienta.