Обзор крупнейшей NPM-атаки в истории: что это такое и при чем тут крипта

cryptonews.ruPublié le 2025-04-09Dernière mise à jour le 2025-09-10

8 сентября произошла крупнейшая в истории атака на NPM-инфраструктуру, направленная на пользователей криптовалют. Она могла затронуть миллиарды пользователей по всему миру, однако сообщество разработчиков вовремя обнаружило угрозу. GetBlock AML Research простым языком объясняет, что такое NPM и почему злоумышленники выбрали этот инструмент для взлома.

Что такое NPM

NPM — это крупнейший в мире каталог (библиотека) готовых программных «деталей» для разработчиков. Представьте себе магазин с миллионами маленьких деталей, из которых программисты собирают свои приложения. Вместо того чтобы каждый раз писать все с нуля, они берут эти готовые «кирпичики» и быстро строят программы и сервисы.

Эти «детали» называются пакетами. Их может создавать любой разработчик и выкладывать в общий доступ. Другие программисты используют эти пакеты в своих проектах — например, в сайтах, мобильных приложениях или даже в программах, связанных с криптовалютами.

И тут появляется связь с криптовалютами. Большая часть современных криптовалютных кошельков, бирж и других сервисов написана на языках программирования, где активно используют NPM-пакеты. Если злоумышленник внедрит вредоносный код в один из таких пакетов, то все программы, которые используют эту «деталь», тоже окажутся зараженными.

В случае с недавней атакой хакеры встроили код, который подменял криптовалютные адреса. То есть когда человек пытался отправить деньги, вместо его настоящего адреса незаметно подставлялся чужой — кошелек злоумышленников.

Как простая ошибка при сборке помогла обнаружить атаку

Все началось с непонятной ошибки при автоматической сборке в CI/CD-пайплайне, которую заметил один из разработчиков:

ReferenceError: fetch is not defined

Эта на первый взгляд мелкая ошибка оказалась первым признаком сложной атаки. Ошибка была прослежена до ее источника в небольшой зависимости error-ex. При дальнейшем расследовании оказалось, что в пакет был внедрен вредоносный код. В нем было обнаружено упоминание подозрительной функции checkethereumw, что сразу вызвало недоумение у разработчиков.

Злоумышленник встроил вредоносное ПО, предназначенное для обнаружения и кражи криптовалюты. Ошибка fetch возникла из-за того, что окружение Node.js было достаточно старым и не имело этой функции. В более новых системах атака могла бы пройти совершенно незаметно.

Масштаб воздействия на экосистему

Получив контроль над аккаунтом разработчика qix, злоумышленник опубликовал вредоносные обновления для ряда фундаментальных утилит JavaScript, включая:

  • chalk: ~300 млн загрузок в неделю
  • strip-ansi: ~261 млн загрузок в неделю
  • color-convert: ~193 млн загрузок в неделю
  • color-name: ~191 млн загрузок в неделю
  • error-ex: ~47 млн загрузок в неделю
  • simple-swizzle: ~26 млн загрузок в неделю
  • has-ansi: ~12 млн загрузок в неделю

Это не нишевые библиотеки, а важнейшие «строительные блоки», глубоко встроенные в зависимости множества проектов.

Разбор вредоносного кода: атака в два этапа

Внутри зараженных пакетов скрывался продвинутый крипто-клиппер, использующий двухуровневую схему кражи средств.

Вектор атаки 1: Пассивная подмена адресов

Код сначала проверял наличие объекта window.ethereum, который добавляют браузерные кошельки вроде MetaMask. Если кошелек не обнаруживался, запускался «пассивный» режим.

Вредоносный код заменял встроенные функции браузера для сетевых запросов, чтобы перехватывать все входящие и исходящие данные. Внутри были списки кошельков хакера для Bitcoin (BTC), Ethereum (ETH), Solana (SOL), Tron (TRX), Litecoin (LTC) и Bitcoin Cash (BCH).

Особая изощренность заключалась в том, что программа не просто подставляла случайный адрес из списка, а выбирала тот, который максимально похож на настоящий. Для этого использовался алгоритм Левенштейна, измеряющий «сходство строк». Благодаря этому замена выглядела настолько правдоподобно, что жертва могла ее не заметить.

Вектор атаки 2: Активное вмешательство в транзакции

Если кошелек все же обнаруживался, запускалась вторая, более опасная часть кода. Она перехватывала функции самого кошелька (например, sendTransaction).

Когда пользователь пытался провести операцию, код незаметно подменял адрес получателя на заранее заданный адрес атакующих. Транзакция затем отправлялась на подтверждение. Если пользователь не проверял адрес вручную, он сам подписывал перевод средств мошенникам.

Трекинг похищенных средств

Несмотря на масштабы атаки и миллиардные загрузки вредоносных файлов, злоумышленник получил лишь 0.1 ETH (около $430 по курсу на момент публикации статьи), которые хранятся на адресе:

0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

Интересный факт: 0.1 ETH были получены от одного пользователя с доменным именем leonard.eth (0xFD89d3831C6973fB5BA0b82022142b54AD9e8d46).

Визуализация: MistTrack

Граф связей одного из адресов хакера

Полный список кошельков злоумышленника опубликован на GitHub.

Как защитить свои проекты: срочные меры для разработчиков

Несмотря на то, что часть зараженных версий уже удалена из NPM, некоторые могут оставаться доступными. Поэтому:

  • используйте функцию overrides в package.json;
  • это позволит принудительно закрепить безопасные версии пакетов во всем проекте.

После внесения изменений необходимо удалить папку node_modules и файл package-lock.json, затем заново выполнить установку зависимостей (npm install), чтобы сформировать чистый lock-файл.

Lectures associées

L'histoire complète de Blockstream, la licorne de la cryptographie, profondément impliquée dans de graves fraudes

Depuis le début de l'année, Blockstream, la société cofondée par le pionnier du Bitcoin Adam Back, est sous le feu des critiques. Une enquête publiée début juin par NatInfoSec accuse la société d'avoir potentiellement levé des milliards de dollars via des billets de mine (BMN) liés à des revenus miniers, mais soulève des doutes sur la réalité des fermes de minage et de la puissance de calcul sous-jacente, évoquant des caractéristiques de type schéma de Ponzi. Les principaux points d'accusation sont les suivants : 1. **Capacité de minage et de paiement douteuses** : Pour honorer ses obligations, Blockstream aurait besoin d'une puissance de calcul bien supérieure (20-45 EH/s) à celle affichée sur son tableau de bord (15 EH/s). Aucune preuve publique (connexions électriques, importations de matériel, parts de pool minier) ne corrobore l'existence d'une infrastructure à cette échelle. Les clauses contractuelles permettraient de plus d'utiliser des bitcoins provenant de sources non divulguées pour les paiements. 2. **Rendements élevés et risque** : Les billets offriraient des rendements fixes allant jusqu'à environ 20% par an, ce qui est considéré comme très élevé et difficile à justifier dans le secteur cyclique du minage de Bitcoin. 3. **Antécédents et divulgation concernant Chris Cook** : Christopher William Cook, ancien responsable des opérations minières de Blockstream et actuel PDG d'Exacore (une entité scindée), a été condamné en 2008 pour fraude postale. Ce passé judiciaire n'aurait pas été divulgué dans les documents d'offre des BMN. Des allégations portent également sur des déclarations trompeuses concernant son expérience professionnelle. 4. **Implications potentielles pour BSTR** : L'enquête soulève des questions sur l'entreprise Bitcoin Standard Treasury (BSTR), liée à Adam Back, qui prévoit une introduction en bourse via SPAC, s'interrogeant sur la divulgation des risques liés aux BMN et sur d'éventuels conflits d'intérêts dans sa structure. La recherche BitMEX a apporté des nuances, confirmant probablement les antécédents de Cook et s'interrogeant sur les rendements, mais estimant que d'autres accusations manquaient de preuves ou étaient trompeuses, notamment concernant la séparation juridique entre les BMN et BSTR. Le débat dans la communauté s'est concentré sur la **vérifiabilité** : les investisseurs et observateurs peuvent-ils indépendamment vérifier la puissance de calcul, les revenus miniers réels et la source des paiements ? Malgré les prises de position divergentes, des questions cruciales sur les BMN demeurent sans réponse claire : leur taille réelle et leurs limites de responsabilité, l'adéquation entre la puissance minière et les obligations, l'origine des rendements élevés, la traçabilité des paiements en BTC, et le rôle exact de Chris Cook. Blockstream n'a pas encore publié de réponse systématique à ces allégations.

marsbitIl y a 2 h

L'histoire complète de Blockstream, la licorne de la cryptographie, profondément impliquée dans de graves fraudes

marsbitIl y a 2 h

Le collectif Reddit qui avait "short-squeezé" Wall Street a-t-il trouvé le prochain GME ?

En juin 2024, l'action de Wendy's (WEN) a connu une hausse significative après la diffusion d'un post populaire sur le forum Reddit r/wallstreetbets intitulé "We need to save Wendy's". Cette dynamique rappelle le phénomène des meme stocks, comme celui de GameStop (GME) en 2021. Le post, jouant sur un running gag de la communauté (le fait de devoir travailler chez Wendy's après de mauvais trades), a généré un fort engouement retail, se traduisant par un volume d'échanges anormalement élevé et une hausse de prix. WEN présente certains ingrédients classiques d'un "short squeeze" potentiel : un taux de ventes à découvert élevé (environ 32% des actions en circulation) et une attention communautaire soutenue. Cependant, l'article nuance fortement la comparaison avec le squeeze historique de GME. La structure est jugée moins extrême : le taux de découvert est significatif mais loin des niveaux de GME (qui avait dépassé 100%), et il manque pour l'instant des preuves solides d'un "gamma squeeze" auto-entrenenu via les options. L'élan actuel semble davantage être un "meme pop" à court terme, alimenté par l'attention et un faible prix de l'action, plutôt qu'un mouvement de fond structurel. L'histoire montre que Wendy's, par sa notoriété et son lien avec la culture WSB, est propice à ce genre de vague, mais que la volatilité qui en découle est souvent temporaire. La durabilité de la hausse dépendra de la persistance de la discussion en ligne, des volumes d'échanges sur plusieurs jours et surtout de l'activité sur le marché des options, qui pourrait, ou non, amplifier mécaniquement la tendance.

marsbitIl y a 2 h

Le collectif Reddit qui avait "short-squeezé" Wall Street a-t-il trouvé le prochain GME ?

marsbitIl y a 2 h

La Corée du Sud cible 40 opérateurs de crypto non enregistrés dans un resserrement de la réglementation

L'unité de renseignement financier de Corée du Sud a signalé environ 40 fournisseurs de services d'actifs virtuels non enregistrés aux autorités policières, renforçant ainsi la réglementation du secteur. Selon la loi sud-coréenne, toutes les plateformes d'échange de cryptomonnaies doivent obtenir une certification ISMS et s'enregistrer auprès de la FIU avant d'opérer. Actuellement, seules 28 entités sont conformes. L'enquête a révélé que des plateformes étrangères contournaient la réglementation en ciblant des clients locaux via des messageries comme Telegram et KakaoTalk. Des changeurs privés convertissaient également des stablecoins en won pour des résidents étrangers, tandis que des créateurs de contenu promouvaient illégalement ces échanges. Cette action s'inscrit dans un effort plus large visant à aligner les normes de conformité sur les recommandations du GAFI. La Corée dudu Sud, représentée par le directeur de la FIU Lee Hyung-joo, plaide pour la suppression des seuils de transaction dans la règle de voyage, prévoyant des vérifications d'identité obligatoires pour toutes les transactions cryptographiques à partir d'août. Les autorités intensifient globalement leur surveillance en 2026, poursuivant les manipulations de marché et renforçant la collaboration inter-agences pour lutter contre le blanchiment d'argent et les transactions illégales.

TheNewsCryptoIl y a 3 h

La Corée du Sud cible 40 opérateurs de crypto non enregistrés dans un resserrement de la réglementation

TheNewsCryptoIl y a 3 h

Le géant de la cryptographie Blockstream au cœur d'une grave allégation de fraude - Récit complet

Le géant de la crypto Blockstream, fondé par le pionnier du Bitcoin Adam Back, est au cœur d'une polémique concernant ses obligations minières (BMN). Une enquête du compte NatInfoSec l'accuse de collecter des milliards de dollars auprès des investisseurs pour du minage, mais soulève de graves doutes sur l'existence réelle des infrastructures de minage nécessaires pour honorer ces engagements. Les principaux points d'interrogation portent sur : - L'inadéquation entre la puissance de calcul affichée (15 EH/s) et celle requise pour couvrir les obligations (estimée entre 35 et 45 EH/s). - L'impossibilité de vérifier cette puissance via les canaux publics habituels (réseaux électriques, importations, pools miniers). - Des rendements annuels fixes élevés, jusqu'à 20%, difficiles à justifier dans un secteur aussi volatil que le minage de Bitcoin. - Le passé pénal de Christopher William Cook, cadre clé des activités minières de Blockstream, condamné pour fraude en 2008. Cette information n'était pas divulguée dans les documents d'offre des BMN. - Des inquiétudes sur la source réelle des bitcoins versés aux investisseurs, certaines clauses contractuelles permettant d'utiliser des BTC provenant d'ailleurs que des mines. La controverse s'étend à la société Bitcoin Standard Treasury Company (BSTR), liée à Adam Back et en cours d'introduction en bourse, sur laquelle pèsent des questions de gouvernance et de divulgation des risques liés aux BMN. Si BitMEX Research a tempéré certaines accusations en soulignant le manque de preuves ou des erreurs d'interprétation, la communauté demande plus de transparence. Les questions centrales restent sans réponse claire : la taille réelle des engagements, la vérification indépendante de la puissance minière et des revenus, et l'origine des rendements promis. Blockstream n'a pas encore apporté de réponse systématique à ces allégations.

链捕手Il y a 3 h

Le géant de la cryptographie Blockstream au cœur d'une grave allégation de fraude - Récit complet

链捕手Il y a 3 h

Trading

Spot
Futures
活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow