El FBI ha detenido a un joven de 21 años acusado de orquestar una de las campañas de malware más curiosas de los últimos años: esconder programas maliciosos dentro de videojuegos aparentemente inofensivos publicados en Steam. Según la denuncia federal, la operación comprometió unos 8.000 equipos en todo el mundo y permitió el robo de al menos 220.000 dólares en criptomonedas procedentes de unas 80 carteras digitales.
Juegos falsos, malware real
Entre mayo de 2024 y febrero de 2026, el acusado —identificado como Zyaire Wilkins— y varios colaboradores publicaron y promocionaron en la tienda de Valve una serie de títulos con apariencia legítima: PirateFi, Dashverse, Lunara, BlockBlasters, Lampy, Chemia y Tokenova. Ninguno era un juego real: eran caballos de Troya disfrazados, diseñados para ejecutar un ladrón de información nada más instalarse.
La estrategia de distribución resultaba especialmente retorcida. En lugar de depender de que la gente encontrara los juegos por casualidad, los ciberdelincuentes los difundían de forma activa a través de canales como Discord, Telegram, LinkedIn e incluso X, poniendo el foco en usuarios que presumían de tener cantidades importantes de criptomonedas. Una vez instalado el malware, este recopilaba credenciales y otra información sensible para acceder posteriormente a los monederos digitales de las víctimas.
El caso del streamer que lo perdió todo
Entre los afectados figura el streamer RastalandTV, que perdió unos 35.000 dólares recaudados por su comunidad para un tratamiento contra el cáncer. El caso ilustra hasta qué punto estas campañas no distinguen entre grandes objetivos y usuarios corrientes: cualquiera con una cartera digital y un poco de confianza en la tienda podía caer en la trampa.
El error que desmontó el golpe perfecto
La operación se desmoronó por un descuido que demuestra que, en ciberseguridad, el eslabón más débil suele ser el factor humano. Los investigadores del FBI rastrearon parte de las criptomonedas robadas hasta la compra de más de 150 tarjetas regalo de Bitrefill, muchas de ellas destinadas a pedidos de Uber Eats. Esas compras terminaron vinculándose con cuentas personales, un número de teléfono y una dirección de correo asociados al sospechoso, lo que permitió reconstruir el recorrido completo del dinero sustraído.
El registro posterior de la vivienda del joven permitió a los agentes incautar varios dispositivos electrónicos que, según la acusación, contenían pruebas de la operación y conversaciones entre los implicados. Wilkins se enfrenta ahora a cargos relacionados con delitos informáticos, mientras las autoridades continúan tirando del hilo para localizar al resto de miembros de la red.
Un problema conocido en Steam
No es la primera vez que la plataforma de Valve se ve salpicada por este tipo de incidentes. En febrero de 2025, Steam tuvo que retirar PirateFi, el mismo título que aparece ahora en la denuncia, después de que se descubriera que estaba infectado con el infostealer conocido como Vidar. El juego estuvo disponible casi una semana y registró entre 800 y 1.500 descargas antes de ser eliminado.
El FBI, por su parte, ha habilitado un apartado en su página web para identificar a posibles víctimas que instalaron estos títulos, además de un formulario para recopilar información relevante para la investigación. La división de Seattle de la agencia es la encargada de coordinar el caso.
Qué podemos aprender
Aunque casos como este siguen siendo extraordinariamente poco frecuentes, demuestran que ninguna plataforma digital está completamente a salvo de que actores maliciosos burlen sus controles. Incluso un pequeño videojuego independiente aparentemente inocuo puede convertirse en un caballo de Troya para una campaña sofisticada.
Las lecciones prácticas son sencillas pero importantes. Primero, descargar únicamente software de desarrolladores de confianza: en Steam, conviene revisar el historial del estudio, la antigüedad de la cuenta y las valoraciones antes de instalar nada. Segundo, desconfiar de enlaces que llegan por Discord, Telegram o redes sociales invitando a probar un juego nuevo, por muy atractiva que parezca la oferta. Y tercero, mantener las carteras de criptomonedas protegidas con autenticación de dos factores y no guardar las claves privadas en el mismo equipo donde se instala software de origen dudoso.
El caso también deja una reflexión sobre el rastro digital: por mucho cuidado que se ponga en ocultar el origen de un robo, el dinero siempre deja huella. En este caso, fueron unas tarjetas regalo y unos pedidos de comida a domicilio los que delataron a todo un ciberdelincuente.
