Новости Крипто 09.09.2025 comment views icon

Крупнейшая NPM-атака в истории криптовалют обогатила злоумышленников аж на $50

author avatar

Тетяна Нечет

Автор новостей

Хакеры взломали аккаунт известного разработчика под никомqix и встроили вредоносный код ввсе NPM-пакеты этого автора. Среди зараженных JavaScript библиотек оказались и такие сверхпопулярные, такие как chalk и debug-js. Вместе они имеют более 2 миллиардов загрузок в неделю. Это кибернападение можно назвать крупнейшей атакой на цепочку поставок в истории.

Автора пакетов скомпрометировали фишинговым электронным письмом, отправленным с support@npmjs[.]help. На момент написания этого письма этот домен больше недоступен. Электронное письмо содержало ссылку, которая загружала контент из двух контролируемых злоумышленником BunnyCDN корзин. Один из загруженных скриптов был вором учетных данных, который сохраняет имя пользователя, пароль и 2FA-код и отправляет их на удаленный хост по адресу websocket-api2.publicvm[.]com. После компрометации учетной записи злоумышленник обновил все пакеты и встроил похититель криптовалют. Это ПО атакует только десктопы и проверяет, существует ли window.ethereum, и если да, устанавливает перехватчики на функции request, send и sendAsync. Он также перезаписывает функции fetch и XMLHttpRequest.prototype.open и XMLHttpRequest.prototype.send. Если window.ethereum найден, вредоносный скрипт перехватывает как Ethereum, так и Solana запросы. В случае Ethereum он автоматически перезаписывает адрес назначения любого вызова на кошелек злоумышленника.

Пока что хакеры смогли украсть криптовалют только на $50. Вредоносное ПО было настроено так, чтобы воровать сохранения с кошельков Ethereum и Solana.

«Представьте себе: вы компрометируете учетную запись NPM разработчика, чьи пакеты загружаются более 2 миллиардов раз в неделю. Вы могли бы иметь неограниченный доступ к миллионам рабочих станций разработчиков. Бесчисленные богатства ждут вас. Мир в ваших руках. А вы зарабатываете меньше $50,» — пошутили в Security Alliance.

Хакер по какой-то причине воспользовался полученным доступом. Вредоносное ПО почти полностью нейтрализовано. Хотя накануне исследователи Security Alliance называли цифру в $0.05, которая за несколько часов все же выросла до $50. То есть, потенциально количество пострадавших может увеличиться со временем.

В адрес преступников пока попали только мемокоины Brett (BRETT), Andy (ANDY), Dork Lord (DORK), Ethervista (VISTA) и Gondola (GONDOLA).

Если пользовались пакетами от qix:

  • Проверьте локальные node_modules, содержат ли они вредоносное ПО: grep -R ‘checkethereumw’
  • Проверьте npm-кэш с помощью этого скрипта от phxgg
  • Проверьте проект с помощью этого скрипта от AndrewMohawk

Источник: Security Alliance

Що думаєте про цю статтю?
Голосів:
Файно є
Файно є
Йой, най буде!
Йой, най буде!
Трясця!
Трясця!
Ну такої...
Ну такої...
Бісить, аж тіпає!
Бісить, аж тіпає!
Loading comments...

Сообщить об опечатке

Текст, который будет отправлен нашим редакторам: