El título independiente Meccha Chameleon, desarrollado por los creadores japoneses Lemorion_1224 y Haganeiro, se ha visto envuelto en una importante crisis de ciberseguridad tras superar los 15 millones de copias vendidas. El investigador independiente Feint descubrió que varios mapas creados por la comunidad en la plataforma Steam Workshop contenían código malicioso oculto en los metadatos de Unreal Engine 5.
Al ejecutar mapas personalizados como Laser Tag Neon o Chroma Grid Arena, el juego activaba un proceso invisible en la consola de comandos de Windows que ejecutaba scripts de PowerShell. Dicho script descargaba e instalaba un troyano de acceso remoto (RAT), permitiendo a los atacantes controlar el ordenador del jugador de forma remota, extraer archivos y comprometer la seguridad del sistema.
Hackers hid malware inside Meccha Chameleon Steam Workshop maps that infected PCs when players loaded them in-game
The attack bypassed two-factor authentication and took over the game’s official Discord server pic.twitter.com/5IvK3Oaipp
— Dexerto (@Dexerto) July 26, 2026
Hackeo al equipo de desarrollo y toma del servidor de Discord
La situación se complicó aún más cuando los desarrolladores intentaron solucionar la vulnerabilidad. Durante las pruebas para desarticular el código malicioso, el equipo de ingeniería sufrió la infección de uno de sus ordenadores de prueba. Los ciberdelincuentes aprovecharon el acceso a esa máquina para eludir la autenticación de doble factor y secuestrar la cuenta de administración del servidor oficial de Discord del juego, expulsando al personal y difundiendo desinformación entre los más de 100.000 miembros de la comunidad.
Tras formatear el equipo afectado y ponerse en contacto directo con el equipo de soporte de Discord, el estudio logró recuperar el control total del servidor y expulsar a las cuentas atacantes. Los creadores aclararon que el código fuente del juego nunca estuvo en riesgo durante el secuestro del canal de comunicación.
El equipo ha publicado la actualización 3.3.1, la cual elimina de forma definitiva el fallo en el sistema de carga de mapas personalizados e introduce capas adicionales de protección antivirus. Se recomienda a todos los usuarios actualizar el título de inmediato y revisar las carpetas temporales de sus sistemas en busca de archivos ejecutables no autorizados.
