NPM Supply Chain Attack : Un échange majeur évite le pire, mais les utilisateurs de Crypto restent à risque

La plus grande plateforme d'échange de cryptomonnaies au monde par volume a rassuré ses clients mardi que leurs données et actifs restaient sécurisés lors de ce qui est considéré comme l'une des attaques de chaîne d'approvisionnement les plus significatives jamais survenues dans l'écosystème JavaScript.

Selon un communiqué publié sur les réseaux sociaux, la plateforme d'échange a confirmé qu'aucun dommage n'est survenu à sa base de données lors d'une violation ciblant des paquets Node.js largement utilisés impliqués dans plus de 2 milliards de téléchargements d'applications par semaine.

“Nous sommes conscients de la récente attaque de la chaîne d'approvisionnement publiant des versions malveillantes de plusieurs paquets JavaScript largement utilisés,” a écrit l'entreprise. “Après enquête, nous avons confirmé que nous n'avons pas été impactés et qu'aucune donnée ou actif client n'est en danger. La sécurité reste notre priorité absolue, cette compromission nous rappelle à quel point la sécurité de la chaîne d'approvisionnement est critique. Restez SAFU.”

Une figure éminente de l'espace crypto a commenté sur la plateforme sociale : “Même les logiciels open source ne sont pas sûrs de nos jours. Le Web3 redéfinira la sécurité pour le Web2. Nous sommes encore au début.”

L'attaque de paquet JavaScript envoie des frissons à travers la communauté crypto

L'attaque, décrite par des chercheurs en sécurité comme l'une des plus grandes de l'histoire de NPM, a eu lieu le 8 septembre. Des hackers ont compromis le compte du mainteneur open-source de confiance “qix” (Josh Junon) par le biais d'un email de phishing sophistiqué se faisant passer pour des communications officielles de npmjs.

Je trouve dérangeant à quel point les attaquants ont facilement manipulé Junon avec un faux avertissement selon lequel son compte se verrouillerait le 10 septembre 2025, à moins qu'il ne mette immédiatement à jour ses identifiants d'authentification à deux facteurs.

“Dans le cadre de notre engagement continu en matière de sécurité des comptes, nous demandons à tous les utilisateurs de mettre à jour leurs informations d'identification de l'authentification à deux facteurs (2FA). Nos dossiers indiquent qu'il s'est écoulé plus de 12 mois depuis votre dernière mise à jour de 2FA,” a déclaré l'email trompeur.

Junon a ensuite admis sur les réseaux sociaux qu'il était tombé victime du schéma de phishing après qu'un autre mainteneur ait révélé que son compte NPM “publiait des paquets avec des portes dérobées”, permettant aux attaquants de détourner son compte et de pousser des mises à jour malveillantes vers 18 bibliothèques Node.js populaires, y compris chalk, debug, ansi-styles et strip-ansi.

Transactions Crypto Spécifiquement Ciblées

Une analyse d'Aikido Security a révélé que les attaquants avaient injecté un code permettant l'interception basée sur le navigateur dans les paquets compromis. Le code malveillant était caché dans les fichiers index.js, où il pouvait surveiller silencieusement le trafic réseau et les API des applications dans toute application utilisant les paquets affectés.

Le script surveille spécifiquement les adresses de portefeuille et les transactions impliquant Bitcoin, Ethereum, Solana, Tron, Litecoin et Bitcoin Cash. Lorsqu'il est détecté, il remplace silencieusement l'adresse de portefeuille de destination par une contrôlée par les attaquants, redirigeant les fonds sans que la victime ne le sache.

Le CTO d'un fabricant de portefeuilles matériels a rapporté que le code malveillant s'était déjà propagé dans des packages avec plus d'un milliard de téléchargements.

La société d'analytique blockchain Arkham Intelligence a rapporté lundi soir qu'un montant de seulement $159 en cryptomonnaie avait été volé jusqu'à présent, retracé à des adresses identifiées par des chercheurs en sécurité.

Cependant, je crains que ce chiffre trompeusement bas masque les véritables dommages potentiels, compte tenu des milliards de téléchargements associés aux packages compromis. Le vol initial lent pourrait simplement représenter le calme avant une tempête beaucoup plus grande.