Аккаунт разработчика Axios взломан

Поделиться

Ссылка скопирована

Компания Slow Fog обнаружила вредоносные версии Axios, которые содержат вредоносную библиотеку plain-crypto-js, подвергая разработчиков криптовалют риску заражения кросс-платформенными RAT (Remote Access Trojan) и кражи учетных данных через npm.

Компания Slow Fog, специализирующаяся на безопасности блокчейна, выпустила срочное предупреждение после того, как недавно опубликованные [email protected] и [email protected] версии содержали вредоносную зависимость [email protected], превратив один из наиболее широко используемых HTTP-клиентов JavaScript в инструмент для атак на цепочку поставок против разработчиков криптовалют. Axios имеет более 80 миллионов загрузок в неделю на npm, поэтому даже кратковременный компрометация может распространиться на серверные части кошельков, торговые боты, биржи и инфраструктуру DeFi, построенную на Node.js. В своем предупреждении Slow Fog предупредила, что "пользователи, установившие [email protected] с помощью npm install -g, потенциально подвержены риску", и рекомендовала немедленно сменить учетные данные и провести тщательную проверку системы на наличие признаков компрометации.

Вам также может быть интересно: В США предъявлены обвинения жителю Мэриленда в деле об эксплойте Uranium Finance на 54 миллиона долларов

Атака основана на поддельной криптографической библиотеке [email protected], которая тихо добавляется в качестве новой зависимости и используется исключительно для выполнения замаскированного скрипта postinstall, который устанавливает кросс-платформенного удаленного трояна, нацеленного на системы Windows, macOS и Linux.

Компания StepSecurity объяснила, что "ни одна из вредоносных версий не содержит ни одной строки вредоносного кода непосредственно в Axios", и что вместо этого "обе версии внедряют поддельную зависимость [email protected], единственная цель которой - запустить скрипт postinstall, который развертывает кросс-платформенного удаленного трояна (RAT)". Исследовательская группа Socket отметила, что вредоносная библиотека plain-crypto-js была опубликована всего за несколько минут до скомпрометированной версии Axios, назвав это "скоординированной атакой на цепочку поставок" против экосистемы JavaScript.

Аккаунт разработчика Axios взломан

Согласно StepSecurity, вредоносные версии axios были распространы с использованием украденных учетных данных npm, принадлежащих основному разработчику “jasonsaayman”, что позволило злоумышленникам обойти обычный процесс публикации обновлений проекта на GitHub. «Это активный компрометация цепочки поставок в [email protected], которая теперь зависит от [email protected] — пакета, опубликованного всего несколько часов назад, который был идентифицирован как замаскированное вредоносное ПО, выполняющее команды оболочки и удаляющее следы», — написал инженер по безопасности Julian Harris в LinkedIn. Компания npm удалила вредоносные версии и вернула версию axios к 1.14.0, но любые среды, которые использовали версии 1.14.1 или 0.3.4 во время атаки, остаются в зоне риска, пока учетные данные не будут изменены, а системы не будут перестроены.

Этот инцидент перекликается с предыдущими случаями компрометации npm, которые напрямую затрагивали пользователей криптовалют, включая кампанию 2025 года, в которой 18 популярных пакетов, таких как chalk и debug, незаметно заменяли адреса кошельков для кражи средств, что побудило технического директора Ledger, Charles Guillemet, предупредить, что «затронутые пакеты были загружены более 1 миллиарда раз». Исследователи также задокументировали вредоносное ПО npm, крадущее ключи из кошельков Ethereum, XRP и Solana, а SlowMist оценила, что хакерские атаки и мошенничество в сфере криптовалют, включая пакеты с бэкдорами и атаки на цепочку поставок с использованием искусственного интеллекта, привели к потерям более 2,3 миллиардов долларов только в первой половине 2025 года. В настоящее время Slow Fog дает четкий совет: понизить версию axios до 1.14.0, проверить зависимости на наличие следов [email protected] или openclaw и предположить, что любые учетные данные, использованные в этих средах, скомпрометированы.

Предыдущие предупреждения о безопасности цепочки поставок программного обеспечения

В предыдущей статье crypto.news об атаках на цепочку поставок JavaScript технический директор Ledger, Guillemet, предупредил, что скомпрометированные пакеты npm, скачиваемые более 2 миллиардов раз в неделю, представляют системный риск для dApps и кошельков, построенных на Node.js. В другой статье подробно описывалось, как северокорейская группа Lazarus Group размещала вредоносные пакеты npm для установки бэкдоров в среды разработчиков и для атак на пользователей кошельков Solana и Exodus. В третьей статье crypto.news о новом поколении вредоносного ПО было показано, как атаки на цепочку поставок с использованием бэкдоров через npm и недорогие инструменты искусственного интеллекта помогали преступникам удаленно контролировать более 4200 машин разработчиков и приводили к потерям криптовалюты на миллиарды долларов.

Вам также может быть интересно: Сенаторы США продвигают «Закон о добыче в Америке», чтобы снизить зависимость от китайских майнеров