Charles Guillemet, directeur technique de Ledger : Évitez les transactions en cryptomonnaies, une attaque de la chaîne d’approvisionnement a été découverte

Une attaque de grande ampleur ciblant la chaîne d'approvisionnement a été découverte. Elle permettrait potentiellement tracles données d'un portefeuille crypto et de dérober des actifs sur toutes les blockchains. La bibliothèque npm d'un compte important et de confiance a été compromise, ont annoncé les chercheurs. 

Une attaque de grande ampleur visant la chaîne d'approvisionnement npm cible potentiellement les propriétaires des portefeuilles crypto les plus courants. Charles Guillemet, directeur technique de Ledger, a mis en garde les utilisateurs contre les transactions en cryptomonnaies effectuées via des portefeuilles web ou de bureau classiques, et recommande de n'utiliser les portefeuilles matériels qu'avec la plus grande prudence. 

🚨 Une attaque de grande ampleur contre la chaîne d'approvisionnement est en cours : le compte NPM d'un développeur réputé a été compromis. Les paquets concernés ont déjà été téléchargés plus d'un milliard de fois, ce qui signifie que l'ensemble de l'écosystème JavaScript pourrait être menacé.

La charge utile malveillante fonctionne…

–Charles Guillemet (@P3b7_) 8 septembre 2025

Des chercheurs ont découvert qu'un compte diffusait des paquets contenant un code malveillant capable de tracet même de détourner des transactions de cryptomonnaies. Peu après l'attaque, le responsable du compte a contacté la communauté via un profil Hackernoon pour avertir que les paquets affectés étaient encore majoritairement compromis et n'avaient pas encore été remplacés par des versions sûres.

Le compte du responsable npm n'a toujours pas été récupéré et a très probablement été volé par ingénierie sociale et une fausse procédure d'authentification à deux facteurs. Des utilisateurs de GitHub ont signalé un courriel provenant du support npmjs. 

L'incident actuel est considéré comme la plus importante attaque jamais perpétrée contre la chaîne d'approvisionnement de npm. D'autres fournisseurs pourraient être compromis si les courriels frauduleux parviennent à infiltrer d'autres comptes.

Attaque à grande échelle de la chaîne d'approvisionnement ciblant les portefeuilles de cryptomonnaies logiciels

La semaine dernière, Cryptopolitan a signalé que deux colis avaient été compromis pour voler des cryptomonnaies sur Ethereum. 

L'attaque actuelle est d'une ampleur bien plus importante : elle affecte 18 packages npm très populaires, totalisant 2 milliards de téléchargements la semaine dernière. À ce stade, on ignore combien de ces packages se sont propagés dans l'écosystème JavaScript. 

L'attaque de la chaîne d'approvisionnement est considérée comme l'une des plus grandes menaces dans l'univers des cryptomonnaies, car elle peut potentiellement modifier la destination des fonds à la volée, même si l'utilisateur semble avoir signé la transaction correcte. 

Je vous recommandetronde ne signer aucune transaction en cryptomonnaie pour le moment.

Une attaque de grande ampleur sur la chaîne d'approvisionnement vise des packages NPM populaires et pourrait avoir compromis divers sites web de cryptomonnaies (interface utilisateur, pas lestraceux-mêmes).

Cela modifie l'adresse de destination des transactions et…

— cygaar (@0xCygaar) 8 septembre 2025

Une fois de plus, la principale menace concerne les utilisateurs de portefeuilles logiciels, et notamment MetaMask, Trust Wallet et Exodus. Tous les paquets npm concernés ont été désactivés ; les développeurs doivent donc modifier leur code pour mettre fin à l’utilisation des paquets défectueux. 

Quelques heures après l'attaque, Axiom et Jupiter DEX ont confirmé n'avoir utilisé aucun des packages npm défectueux et les échanges peuvent se poursuivre normalement. Kamino a également indiqué n'avoir déployé aucun code défectueux.

Les utilisateurs sont invités à éviter de signer des transactions tant que les développeurs n'auront pas donné leur feu vert

Pour l'instant, il est jugé improbable que l'attaquant puisse voler directement les phrases de récupération privées, car cela révélerait des failles de sécurité encore plus importantes dans les portefeuilles. Actuellement, les portefeuilles des utilisateurs sont sécurisés tant qu'ils n'envoient pas ou ne signent pas de transaction. 

L'échange d'adresses a lieu avant la signature, car l'attaquant utilise d'apparence similaire . Les adresses se ressemblent tellement qu'une vérification détaillée, lettre par lettre, est nécessaire avant la signature. Généralement, les utilisateurs de cryptomonnaies ne vérifient que les quatre premiers et les quatre derniers chiffres, ce qui les expose à ce type d'attaque. 

Cependant, il existe aussi destracintelligents et des transactions automatisées. Il est conseillé aux utilisateurs de verrouiller et de désactiver tous leurs portefeuilles de navigateur et de s'abstenir de signer des transactions. Cette annonce n'a pas non plus freiné la hausse des cryptomonnaies de lundi. De plus, les équipes de surveillance de la blockchain n'ont émis aucune alerte concernant des pertes importantes ou inhabituelles provenant de portefeuilles individuels.

L'attaque peut affecter toutes les applications de l'écosystème Web3 et DeFi . Pour l'instant, les transactions se poursuivent sur toutes les blockchains. Les chercheurs ont effectué une capture d'écran des portefeuilles, dont certains sont encore vides.