Moins de 50 $ de crypto volés lors d’une attaque NPM massive !

Des chercheurs en sécurité industrielle ont révélé que des hackers n’ont réussi à subtiliser que 50 dollars en cryptomonnaies lors d’une attaque massive ciblant la chaîne d’approvisionnement et visant les bibliothèques JavaScript. La plateforme d’intelligence en sécurité Security Alliance a publié ses résultats lundi, indiquant que les pirates avaient compromis le compte d’un développeur bien connu de NPM, intégrant ainsi des logiciels malveillants dans des bibliothèques JavaScript très populaires, téléchargées plus d’un milliard de fois, ce qui aurait pu exposer de nombreux projets liés aux cryptomonnaies à des risques importants. Il a été précisé que les portefeuilles Ethereum et Solana étaient particulièrement visés.

Heureusement, jusqu’à présent, le montant dérobé dans le secteur de la cryptomonnaie n’excède pas 50 dollars, selon la société de sécurité, qui a identifié l’adresse de portefeuilles Ethereum 0xFc4a48 comme étant la seule associée à cette attaque. Dans un post sur la plateforme X, la société a déclaré :
“Imaginez cela : vous piraterez le compte d’un développeur NPM dont les paquets sont téléchargés plus de deux milliards de fois chaque semaine. Vous accédez librement à des millions d’appareils de développeurs. Des fortunes inestimables à portée de main. Et pourtant, vous ne réalisez qu’un bénéfice inférieur à 50 dollars”.

[not-theb]

[/not-theb]

Dans une déclaration distincte faite à Cointelegraph, un chercheur en sécurité, connu sous le pseudonyme de Samczsun, membre de l’équipe SEAL, a déclaré :
“Le pirate n’a pas pleinement profité de l’ampleur de l’accès qu’il avait. C’est comme si l’on trouvait une clé d’entrée de Fort Knox pour l’utiliser comme marque-page. Certes, le logiciel malveillant s’est répandu largement, mais il est maintenant pratiquement neutralisé”.

Cependant, la somme dérobée a rapidement augmenté, passant de cinq cents à 50 dollars en quelques heures, ce qui suggère que les dommages potentiels pourraient ne pas avoir été entièrement révélés.

Des montants modestes en ETH et mèmes coins

Security Alliance a précisé que les cinq cents dérobés provenaient de l’Ether (ETH), tandis que près de 20 dollars avaient été subtilisés sous forme de mème coins.

Les données d’Etherscan montrent que l’adresse malveillante a déjà reçu des mèmes tels que Brett (BRETT), Andy (ANDY), Dork Lord (DORK), Ethervista (VISTA) et Gondola (GONDOLA).

Projets de cryptomonnaies n’ayant pas téléchargé les bibliothèques NPM pourraient être à risque

Cette intrusion a ciblé des paquets tels que chalk, strip-ansi et color-convert, des outils profondément ancrés dans les arbres de dépendance de nombreux projets. Même les développeurs qui ne les ont pas installés directement peuvent être vulnérables.

NPM agit comme une librairie d’applications pour les développeurs, où ils partagent et téléchargent de petits paquets de logiciels pour construire des projets JavaScript.

Il semble que les agresseurs aient implanté un type de logiciel malveillant connu sous le nom de crypto-clipper, capable de remplacer secrètement les adresses de portefeuille lors des transactions pour détourner des fonds. Charles Guimauve, directeur technique de Ledger, a parmi d’autres, exhorté les utilisateurs de cryptomonnaies à faire preuve de prudence avant de confirmer des transactions sur la chaîne.

Ledger et MetaMask demeurent hors de danger

Les fournisseurs de portefeuilles cryptographiques, tels que Ledger et MetaMask, ont confirmé que leurs plateformes étaient sécurisées contre cette attaque sur NPM, mettant en avant “des couches multiples de protection” qui leur permettent de se prémunir contre de telles intrusions. Phantom Wallet a également précisé qu’elle n’utilisait aucune version vulnérable des paquets touchés, tandis qu’Uniswap a indiqué que ses applications n’étaient pas affectées par cette attaque.

D’autres plateformes ayant confirmé leur sécurité incluent Aerodrome, Blast, Blockstream Jade et Revoke.cash.

Le fondateur de DefiLlama met en garde : Vos fonds ne seront pas épuisés immédiatement

0xngmi, le fondateur anonyme de la plateforme d’analyses DefiLlama, a mentionné que seules les projets de cryptomonnaies ayant mis à jour leurs interfaces après la publication du paquet NPM infecté pourraient être exposés. Cependant, dans ces cas, les utilisateurs devront approuver la transaction malveillante pour qu’elle soit exécutoire.

Il a également ajouté, tout comme Guimauve, qu’il serait préférable d’éviter d’utiliser les sites de cryptomonnaie jusqu’à ce que les développeurs de ces plateformes aient nettoyé les paquets contaminés.