¿Tu Mac se calienta sin motivo? Así revisas si hay un minero de criptomonedas escondido

Si tu Mac se calienta mientras lo exprimes con un render o una compilación larga, vale. Pero si tu Mac se calienta con el navegador cerrado y el ventilador sonando como secador de pelo, ya es otra historia. Hoy vi un caso que me hizo revisar mi propio equipo, así que te cuento qué miré y en qué orden.

La captura que lo empezó todo

El 19 de octubre, la cuenta @kimmonismus publicó en X una captura de un hilo de Reddit con un título bastante elocuente: Claude encontró un minero de criptomonedas en un Mac mientras le programaba al usuario una app para monitorear la temperatura.

De la conversaciónVer fuente en X ↗

Cargar publicación de X

Conecta con X al cargar. Se conserva el idioma original.

Según las capturas, Claude vio que xmrig estaba usando alrededor de 1175% de CPU, unos 12 núcleos, y que el procesador llegaba a 112 °C. También según las capturas, el minero corría desde /tmp/rigupdater, minaba hacia pool.hashvault.sh y volvía a arrancar gracias a un plist con nombre aleatorio en ~/Library/LaunchAgents, que lanzaba un script codificado con bash y tenía KeepAlive activado. La fecha del archivo era anterior a todo lo que el usuario había construido. Claude dice que todavía no había borrado nada, y me parece lo correcto.

Ahora, la advertencia: todo eso sale de las capturas. No encontré el post original de Reddit, así que no puedo confirmar las cifras, el modelo del equipo ni la cronología. Tómalo como una historia que está circulando, no como algo comprobado.

Tampoco es un caso aislado. El mes pasado, alguien escribió en r/cybersecurity_help que su Mac tenía XMRig usando cerca de 800% de CPU mientras trabajaba con OpenCode, y que después apareció también algo parecido a un ladrón de datos. Dejó claro que no culpaba a OpenCode como tal; solo se preguntaba si algo que ejecutó a través del agente pudo haberlo metido. En ese hilo nadie demostró cómo llegó.

Y ahí está lo que me hace ruido. Un agente de programación con IA que anda ejecutando comandos por tu máquina puede descubrir malware que tú nunca viste. Y ese mismo agente puede ser el que instala, con npm install, el paquete equivocado.

Tu Mac se calienta: ¿de verdad es un minero?

Casi siempre que un Mac se calienta, no hay ninguna infección de por medio. La propia Apple, en su página sobre el ruido de los ventiladores, menciona como algo normal que Spotlight esté indexando el disco después de migrar datos. A eso le sumo otras razones por las que un Mac se calienta, sacadas de lo que me ha pasado a mí:

• Spotlight o Fotos indexando después de una actualización grande o de pasar los datos de otro Mac. Dale un día.
• Un navegador con decenas de pestañas, y alguna con un reproductor o un juego web que nunca se detiene.
• Un monitor externo. En algunos MacBook Pro Intel más viejos, usar la pantalla interna y la externa a la vez calienta bastante más.
• Una app solo para Intel en un Mac con chip de Apple, que corre a través de Rosetta. En el Monitor de Actividad puedes ver qué procesos son de tipo Intel; si uno consume más de lo que debería, empieza por ahí. Apple lo explica aquí.
• Usar la laptop sobre la cama o una almohada. Apple dice claramente que no lo hagas.

La pista de que tu Mac se calienta por un minero es bastante directa: un proceso que se come varios núcleos completos todo el tiempo, también cuando no estás usando el equipo. Los mineros no se toman descansos.

Paso 1: si tu Mac se calienta, abre el Monitor de Actividad

1. Abre el Monitor de Actividad (Aplicaciones > Utilidades) y haz clic en la pestaña CPU.
2. Haz clic en el encabezado de la columna % CPU para que lo que más consume quede arriba. La guía de Apple para ver información de los procesos explica cómo ordenar y qué vistas hay en el menú Visualización; te conviene ver todos los procesos.
3. Ojo con el porcentaje: se mide por núcleo. 100% es un núcleo al máximo, así que 800% o más quiere decir que hay varios núcleos ocupados a la vez.
4. Selecciona el proceso sospechoso y pulsa Comando-I (o el botón de información). En la pestaña de archivos y puertos abiertos ves desde dónde se ejecuta. Si sale de /tmp, de una carpeta oculta que empieza con punto o tiene un nombre que parece tecleado al azar, mala señal.
5. Échale un vistazo a la pestaña Energía. Apple describe el impacto energético como una medida relativa (cuanto más bajo, mejor), y en las laptops hay una columna con el promedio de las últimas 12 horas que delata a quien lleva todo el día trabajando.

Hay dos nombres que asustan sin motivo. Si kernel_task aparece con mucho CPU, casi siempre es macOS frenando el procesador porque ya está demasiado caliente. Según Apple, kernel_task responde al calor, no lo provoca. O sea: si tu Mac se calienta y kernel_task está ocupado, busca qué genera el calor; no intentes cerrar kernel_task. WindowServer es el que dibuja todo lo que ves en pantalla; con muchas ventanas, animaciones o un monitor externo de alta resolución trabaja más. Molesto, pero normal.

Lo que no es normal: xmrig, cualquier cosa con «rig», «miner» o «xmr» en el nombre, o un proceso desconocido clavado en varios cientos por ciento con el Mac en reposo. Eso sí, los mineros a menudo se renombran para pasar desapercibidos, así que fíjate más en la ruta y en el patrón de consumo que en el nombre.

Lo mismo desde la Terminal

Si prefieres pegar unas líneas, estas son las que uso yo cuando el Mac se calienta sin explicación:

# los 10 procesos que más CPU usan (la columna 3 es %CPU)
ps aux | sort -nrk 3 | head -n 10

# comando completo y ruta de un proceso
ps -p PID -o pid,%cpu,command

# tareas de launchd que no son de Apple, en tu usuario
launchctl list | grep -v com.apple

# qué procesos tienen conexiones abiertas ahora mismo
lsof -i -nP | grep ESTABLISHED

Cambia PID por el número que te dio el primer comando. En el caso de las capturas, el minero se conectaba a un pool de minería; si el mismo proceso mantiene una conexión rara hacia afuera, es una segunda pista bastante clara.

Paso 2: mira qué arranca al iniciar sesión

Un minero que muere cuando lo cierras no es buen negocio, así que casi siempre se las arregla para volver. Empieza por el camino que documenta Apple: menú Apple > Ajustes del Sistema > General > Ítems de inicio y extensiones. Quita de «Abrir al iniciar sesión» lo que no reconozcas y revisa la sección de segundo plano (en la documentación más reciente se llama «Actividad en segundo plano de las apps»; en versiones como Ventura aparece como «Permitir en segundo plano»). Desactiva lo que no sepas explicar.

Si el problema aparece justo al arrancar, la guía de Apple para solucionar problemas de inicio sugiere mantener pulsada la tecla Mayúsculas al iniciar sesión para saltarte los ítems de inicio, o quitarlos todos, reiniciar e ir agregándolos uno por uno. Es tedioso, pero funciona.

Paso 3 (avanzado): LaunchAgents y LaunchDaemons

Aviso: Apple no le recomienda al usuario común meterse en estas carpetas, así que esto es para quien se maneja con la Terminal. La regla es simple: mira solo los .plist que no reconozcas y no borres nada del sistema.

Las tres carpetas que importan:

ls -la ~/Library/LaunchAgents
ls -la /Library/LaunchAgents
ls -la /Library/LaunchDaemons

# leer uno sin abrir un editor
plutil -p ~/Library/LaunchAgents/com.ejemplo.algo.plist

Casi todo lo que veas será de apps que instalaste: Google, Zoom, Adobe, tu VPN, Dropbox. Lo sospechoso se parece al caso de las capturas: nombres con letras al azar, un ProgramArguments que apunta a /tmp o a una carpeta oculta, bash -c seguido de un bloque largo en base64, KeepAlive en true. Si quieres entender qué hace cada clave, la vieja guía para desarrolladores de Apple sobre launch agents y daemons lo explica (en inglés).

Cómo quitarlo sin empeorar las cosas

El orden importa. Primero detén lo que lo vuelve a lanzar; si no, matas el proceso y launchd lo levanta otra vez a los dos segundos.

1. Antes de tocar nada, anota la ruta del plist y la del ejecutable. Haz una captura de pantalla.
2. Descarga la tarea. Si es de tu usuario: launchctl bootout gui/$(id -u) ~/Library/LaunchAgents/NOMBRE.plist. Si está en /Library/LaunchDaemons: sudo launchctl bootout system /Library/LaunchDaemons/NOMBRE.plist.
3. Termina lo que siga corriendo: kill PID, o «Salir del proceso» en el Monitor de Actividad.
4. Mueve el plist y el ejecutable a una carpeta de cuarentena en el Escritorio en lugar de borrarlos de inmediato. Cuando estés seguro, los eliminas.
5. Ejecuta crontab -l por si hay tareas programadas que no escribiste, y revisa ~/.zshrc y ~/.zprofile por si algo descarga o lanza cosas al abrir la Terminal.
6. Reinicia, espera diez minutos y vuelve a abrir el Monitor de Actividad. Si el Mac se calienta otra vez y el proceso regresó, hay algo más relanzándolo.

Y lo que casi todos se saltan. El malware que corre con tu usuario puede leer todo lo que tú puedes leer. Las capturas mencionan que el inicio de sesión de GitHub en ese Mac quedó expuesto, y en el hilo de r/cybersecurity_help aparecieron datos de sesión del navegador. Así que, desde otro dispositivo: cambia contraseñas, cierra todas las sesiones activas y renueva las claves de API, las claves SSH y los tokens que usabas en ese equipo.

Cuándo dejar de limpiar y reinstalar

Si encontraste un ladrón de datos, si el minero vuelve una y otra vez o si simplemente ya no te fías de la máquina, haz copia de tus documentos, borra el Mac y reinstala macOS. Copia los archivos a mano; una migración completa puede traerte el problema de vuelta. Pierdes una tarde, pero duermes tranquilo.

macOS tampoco está indefenso. Trae XProtect integrado, que detecta malware por firmas, recibe actualizaciones de Apple por su cuenta (por defecto macOS las busca a diario) y puede bloquear y eliminar malware conocido. Pero depende de firmas, y un minero recién compilado que se lanza desde un script de shell puede colarse. Para una segunda opinión, Malwarebytes para Mac tiene un escáner gratuito. Con uno confiable alcanza; esas apps milagrosas de «limpieza para Mac» suelen ser un problema aparte.

Si usas Claude Code, Codex u otros agentes

A mí me encantan estas herramientas, y les dejo ejecutar comandos en mi laptop todos los días. Dicho en voz alta, es mucha confianza. Con los plugins pasa igual: mi lista de Claude Code mods que de verdad instalaría es código que corre con tus permisos, así que aplican las mismas costumbres. Estas son las que adopté:

• Lee lo que instalan. Cuando el agente ejecuta npm install, pip install o brew install, revisa que el nombre del paquete no tenga una letra cambiada y búscalo si no lo conoces. El paquete con nombre casi idéntico es el truco más viejo del libro.
• Activa el sandbox. Claude Code tiene un sandbox integrado para Bash (en macOS usa Seatbelt; se configura con /sandbox). Codex tiene modos de sandbox como read-only y workspace-write, y en su modo Auto pide permiso antes de usar la red.
• No dejes servidores de agentes escuchando en la red sin contraseña. Si una herramienta tiene modo web o remoto, revisa cómo se autentica antes de olvidarte de que está corriendo.
• Después de una sesión larga con un agente, ejecuta ls -lt ~/Library/LaunchAgents y fíjate si apareció algo nuevo. Son cinco segundos.

Si usas agentes varias horas al día, también llevo un seguimiento de los límites de Claude y Codex. Un salto de uso que no sabes explicar merece una segunda mirada, igual que un salto de CPU.

Lo gracioso de esta historia es que fue una IA la que encontró el minero. Lo no tan gracioso es lo fácil que una IA podría haberlo instalado. Las dos cosas son ciertas, y la IA en ambos lados de una historia de seguridad no es nueva: ahí está el caso de quien pidió a la IA que pusiera sus ataques a bancos en el currículum. Vale la pena revisar qué dejan atrás.

Y si al final tu Mac se calienta solo porque Spotlight está indexando, mejor. Es el mejor resultado posible.

Sigue leyendo: más guías de Claude, más sobre hardware para IA y comparativa de precios de suscripciones de IA.