Массовый компромисс цепочки поставок npm внедряет кражу криптовалюты в 18 пакетов

Основное обновление

8 сентября 2025 года злоумышленники скомпрометировали учетную запись npm продуктивного поддерживающего разработчика (Qix / Josh Junon) и опубликовали вредоносные версии в 18 пакетах с общим количеством загрузок в миллиардах за неделю; внедренный код выполняется в браузерах для перехвата API кошельков/сетей и изменения получателей криптовалюты, чтобы средства перенаправлялись на адреса, контролируемые злоумышленниками. (pt.aikido.dev)

Почему это важно

Это не теоретический компромисс репозитория: эти пакеты (chalk, debug, ansi‑styles и несколько небольших, но высоко транзитивных утилит) находятся в огромных графах зависимостей и регулярно включаются в сборки фронтенда. Вредоносный код выполняется только в контексте браузера, поэтому серверы, работающие на Node.js, не выполняли вредоносную логику напрямую, но любая сборка, которая включала зараженные версии и отправляла фронтенд-ресурсы, могла подвергнуть крипто-потоки конечных пользователей риску в течение короткого окна времени. Меры по сдерживанию, предпринятые сообществом и реестром, быстро удалили версии, но восстановление является операционно сложным: командам необходимо зафиксировать и пересобрать артефакты, очистить кэши и CDN, проверить lock-файлы и артефакты развертывания, а также рассматривать это как инцидент в цепочке поставок для реагирования на инциденты и послесловия. (pt.aikido.dev)

Источник

• Источник