Angreifer übernehmen die Kontrolle über das Konto eines inaktiven npm-Wartungsmitarbeiters, stehlen Krypto-Schlüssel

Drei vergiftete Versionen von node-ipc wurden am 14. Mai auf dem npm-Registry veröffentlicht, so SlowMist. Angreifer übernahmen die Kontrolle über ein inaktives Wartungskonto und stellten Code bereit, der darauf ausgelegt war, Entwickler-Anmeldeinformationen, private Schlüssel, API-Geheimnisse von Börsen und weitere sensible Daten direkt aus .env-Dateien abzuzweigen.

node-ipc ist ein beliebtes Node.js-Paket, das es verschiedenen Programmen ermöglicht, miteinander auf demselben Rechner oder manchmal auch über ein Netzwerk zu kommunizieren.

SlowMist entdeckt den Sicherheitsvorfall

Die Blockchain-Sicherheitsfirma SlowMist entdeckte den Sicherheitsvorfall über ihr Bedrohungs-Intelligence-System MistEye.

Versionen 9.1.6, 9.2.3 und 12.0.1

MistEye fand drei bösartige Versionen, darunter:

• Version 9.1.6.
• Version 9.2.3.
• Version 12.0.1.

Alle oben genannten Versionen enthielten denselben verschleierten 80-KB-Payload.

Node-ipc verarbeitet die Interprozesskommunikation in Node.js. Es hilft im Grunde genommen Node.js-Programme, Nachrichten hin und her zu senden. Über 822.000 Menschen laden es jede Woche herunter.

Node-ipc wird in der gesamten Krypto-Branche eingesetzt. Es wird in den Tools verwendet, mit denen Entwickler DApps erstellen, in Systemen, die Code automatisch testen und bereitstellen (CI/CD), sowie in alltäglichen Entwickler-Tools.

Jede infizierte Version hatte denselben versteckten bösartigen Code angehängt. Sobald ein Programm node-ipc lud, wurde der Code automatisch ausgeführt.

Forscher von StepSecurity haben herausgefunden, wie der Angriff stattfand. Der ursprüngliche Entwickler von node-ipc hatte eine E-Mail-Adresse, die mit der Domain atlantis-software[.]net verknüpft war. Diese Domain lief jedoch am 10. Januar 2025 aus.

Am 7. Mai 2026 kaufte der Angreifer dieselbe Domain über Namecheap, was ihm die Kontrolle über die alte E-Mail-Adresse des Entwicklers gab. Von dort aus klickte er einfach auf „Passwort vergessen“ bei npm, setzte es zurück und erhielt mit voller Berechtigung Zugang, um neue Versionen von node-ipc zu veröffentlichen.

Der eigentliche Entwickler hatte keine Ahnung, dass dies geschah. Die bösartigen Versionen blieben etwa zwei Stunden aktiv, bevor sie entfernt wurden.

Der Stealer sucht nach 90+ Anmeldeinformationen

Der eingebettete Payload sucht nach über 90 Arten von Entwickler- und Cloud-Anmeldeinformationen. AWS-Token, Google Cloud- und Azure-Geheimnisse, SSH-Schlüssel, Kubernetes-Konfigurationen, GitHub-CLI-Token – allesamt stehen auf der Liste.

Für Krypto-Entwickler durchsucht die Malware spezifisch .env-Dateien. Diese enthalten normalerweise private Schlüssel, RPC-Node-Anmeldeinformationen und API-Geheimnisse von Börsen.

Um die gestohlenen Daten unbemerkt abzuzweigen, nutzt der Payload DNS-Tunneling. Er verbirgt die Dateien im Grunde genommen in scheinbar normalen Internet-Suchanfragen. Die meisten Netzwerksicherheitstools erkennen dies nicht.

Sicherheitsteams warnen, dass jedes Projekt, das npm install oder während dieses Zwei-Stunden-Fensters automatisch aktualisierte Abhängigkeiten hatte, als kompromittiert angesehen werden sollte.

Sofortige Maßnahmen gemäß den Empfehlungen von SlowMist:

• Überprüfen Sie Lock-Dateien auf node-ipc-Versionen 9.1.6, 9.2.3 oder 12.0.1.
• Gehen Sie zur letzten Version zurück, von der Sie wissen, dass sie sicher ist.
• Ändern Sie alle Anmeldeinformationen, die möglicherweise geleckt wurden.

Supply-Chain-Angriffe auf npm sind im Jahr 2026 zur Regel geworden. Krypto-Projekte werden härter getroffen als die meisten, da gestohlene Zugangsdaten schnell in gestohlenes Geld umgewandelt werden können.