Charles Guillemet, CTO de Ledger : éviter les transactions crypto, une attaque de la chaîne d'approvisionnement découverte

Une attaque de la chaîne d'approvisionnement généralisée a été découverte, potentiellement capable de suivre les données d'un portefeuille crypto et de voler des actifs sur toutes les chaînes. La bibliothèque npm d'un compte important et de confiance a été compromise, ont annoncé les chercheurs. 

Une attaque de la chaîne d'approvisionnement npm généralisée cible potentiellement les propriétaires des portefeuilles crypto les plus courants. Charles Guillemet, CTO de Ledger, a mis en garde les utilisateurs contre les transactions crypto utilisant des portefeuilles basés sur le navigateur ou de bureau courants, et a conseillé de n'effectuer des transactions qu'à travers des portefeuilles matériels avec une grande prudence. 

🚨 Une attaque de la chaîne d'approvisionnement à grande échelle est en cours : le compte NPM d'un développeur réputé a été compromis. Les paquets affectés ont déjà été téléchargés plus d'un milliard de fois, ce qui signifie que l'écosystème JavaScript entier pourrait être à risque.

La charge utile malveillante fonctionne…

— Charles Guillemet (@P3b7_) septembre 8, 2025

Les chercheurs ont découvert que l'un des mainteneurs de paquets JavaScript npm de confiance représente propageait des paquets avec du code malveillant capable de suivre et même de détourner les transactions crypto. Peu après l'attaque, le mainteneur a pris contact avec la communauté via un profil Hackernoon pour avertir que les paquets affectés sont toujours principalement compromis et n'ont pas encore été remplacés par des versions sûres.

Le compte du mainteneur npm n'est toujours pas récupéré et a probablement été volé par ingénierie sociale et un faux processus 2FA. Les utilisateurs de GitHub ont signalé un e-mail provenant du support npmjs. 

L'événement actuel est considéré comme la plus grande attaque de la chaîne d'approvisionnement npm de l'histoire. D'autres fournisseurs peuvent être compromis si les e-mails parviennent à voler d'autres comptes.

Une attaque de la chaîne d'approvisionnement à grande échelle cible les portefeuilles logiciels crypto

Au cours de la semaine dernière, Cryptopolitan a rapporté sur deux paquets compromis pour voler de la crypto sur Ethereum. 

L'attaque actuelle est beaucoup plus importante – affectant un total de 18 paquets npm très populaires, avec 2 milliards de téléchargements au cours de la semaine dernière. À ce stade, il est incertain combien de paquets se sont propagés à travers l'écosystème JavaScript. 

L'attaque de la chaîne d'approvisionnement est considérée comme l'une des plus grandes menaces dans l'espace crypto, potentiellement en changeant la destination des fonds en temps réel, malgré le fait que l'utilisateur signe apparemment la transaction correcte. 

Je recommande fortement de ne signer aucune transaction crypto pour le moment.

Il y a une énorme attaque de la chaîne d'approvisionnement sur des paquets NPM populaires qui ont pu compromettre divers sites web crypto (frontend, pas les contrats réels).

Cela change l'adresse de destination des transactions et…

— cygaar (@0xCygaar) septembre 8, 2025

Une fois de plus, la plus grande menace concerne les utilisateurs de portefeuilles logiciels, affectant reportedly MetaMask, Trust Wallet, Exodus et d'autres. Tous les paquets npm ont été désactivés, mais les développeurs doivent revenir à leur code pour cesser d'utiliser les paquets défectueux. 

Quelques heures après l'attaque, Axiom et Jupiter DEX ont confirmé qu'ils n'utilisaient aucun des paquets npm défectueux et que le trading pouvait continuer. Kamino a également signalé qu'il n'avait déployé aucun code défectueux.

Les utilisateurs sont exhortés à éviter de signer des transactions jusqu'à ce que les développeurs donnent le feu vert

Pour l'instant, il est considéré comme improbable que l'attaquant soit capable de voler directement les graines privées, car cela exposerait des problèmes encore plus grands avec la sécurité des portefeuilles. Actuellement, les portefeuilles des utilisateurs sont sûrs à moins qu'ils n'envoient ou ne signent une transaction. 

Le changement d'adresse se produit avant la signature, car l'attaquant utilise des portefeuilles de destination de forme similaire. Les adresses se ressemblent presque, nécessitant une vérification lettre par lettre détaillée avant la signature. Habituellement, les utilisateurs de crypto ne vérifient que les quatre premiers et les quatre derniers chiffres, les laissant ouverts aux attaques de changement d'adresse. 

Cependant, il existe également des contrats intelligents et des transactions automatisées. Les utilisateurs finaux sont conseillés de verrouiller et de désactiver tous les portefeuilles de navigateur et de s'abstenir de signer des transactions. Les nouvelles n'ont pas non plus fait baisser le rallye crypto de lundi. De plus, les détectives on-chain n'ont pas émis d'avertissements concernant de grandes pertes ou des pertes inhabituelles de portefeuilles individuels.

L'attaque peut affecter toutes les applications de l'écosystème Web3 et DeFi. Actuellement, les transactions continuent sur toutes les chaînes. Les chercheurs ont capturé un écran de la destination potentielle portefeuilles, dont certaines sont encore vides.