Des chercheurs en cybersécurité découvrent de faux paquets npm Bitcoin qui volent les portefeuilles et les graines cryptographiques
- Des chercheurs en cybersécurité ont mis au jour trois packages npm Bitcoin malveillants conçus pour installer un malware appelé NodeCordRAT.
- NodeCordRAT est capable de voler les identifiants Google Chrome, les jetons API stockés dans les fichiers .env et les données du portefeuille crypto MetaMask, telles que les clés privées et les phrases de récupération.
- Les nœuds malveillants ont collectivement enregistré plus de 3 400 téléchargements avant d'être supprimés du registre npm en novembre 2025.
Les chercheurs de Zscaler ThreatLabz ont découvert trois paquets npm Bitcoin malveillants destinés à installer un malware nommé NodeCordRAT. Selon les rapports, ils ont tous été téléchargés plus de 3 400 fois avant d'être retirés du registre npm.
Les paquets, qui incluent bitcoin-main-lib, bitcoin-lib-js et bip40, avaient accumulé respectivement 2 300, 193 et 970 téléchargements. En copiant les noms et les détails de véritables composants Bitcoin, l'attaquant a fait apparaître ces modules contrefaits comme inoffensifs à première vue.
« Les packages bitcoin-main-lib et bitcoin-lib-js exécutent un script postinstall.cjs lors de l'installation, ce qui installe bip40, le package contenant la charge malveillante », ont déclaré les chercheurs Satyam Singh et Lakhan Parashar de Zscaler ThreatLabz. « Cette charge finale, nommée NodeCordRAT par ThreatLabz, est un cheval de Troie d'accès à distance (RAT) doté de capacités de vol de données. »
NodeCordRAT est capable de voler les identifiants Google Chrome
Les analystes de Zscaler ThreatLabz ont identifié ce trio en novembre lors de la surveillance du registre npm à la recherche de paquets suspects et de modèles de téléchargement étranges. NodeCordRAT représente une nouvelle famille de malwares qui exploite des serveurs Discord pour la communication de commande et de contrôle (C2).
NodeCordRAT a été conçu pour voler les informations de connexion Google Chrome, les codes API stockés dans les fichiers .env et les données du portefeuille MetaMask telles que les clés privées et les phrases de récupération. La personne ayant publié les trois paquets malveillants utilisait l'adresse e-mail [email protected].
La chaîne d'attaque commence lorsque les développeurs installent involontairement bitcoin-main-lib ou bitcoin-lib-js depuis npm. Ensuite, elle identifie le chemin du package bip40 et le lance en mode détaché via PM2.
Le malware génère un identifiant unique pour les machines compromises en utilisant le format platform-uuid, tel que win32-c5a3f1b4. Cela est obtenu en extrayant les UUID système via des commandes comme wmic csproduct get UUID sur Windows ou en lisant /etc/machine-id sur les systèmes Linux.
Packages Node malveillants à l'origine de vols de cryptomonnaies
Trust Wallet a indiqué que le vol de près de 8,5 millions de dollars était lié à une attaque contre la chaîne d'approvisionnement de l'écosystème npm par « Sha1-Hulud NPM ». Plus de 2 500 portefeuilles ont été touchés.
Les pirates ont utilisé des trojans de style NodeCordRAT et des logiciels malveillants de chaîne d'approvisionnement provenant d'un npm compromis. Ils ont été intégrés dans le code côté client pour voler de l'argent aux clients lors de l'accès à leurs portefeuilles.
D'autres exemples de 2025 relevant de deux catégories rappelant le style de la menace NodeCordRAT incluent l'exploit Force Bridge, survenu entre mai et juin 2025. Les attaquants ont volé soit le logiciel, soit les clés privées utilisées par les nœuds validateurs pour autoriser les retraits inter-chaînes. Cela a transformé les nœuds en acteurs malveillants capables d'approuver des transactions frauduleuses.
Cette faille a entraîné un vol estimé à 3,6 millions de dollars d'actifs, notamment ETH, USDC, USDT et d'autres jetons. Elle a également contraint le pont à cesser ses opérations et à mener des audits.
En septembre, l'exploitation du pont Shibarium s'est produite, permettant aux attaquants de prendre le contrôle de la majeure partie de la puissance des validateurs pendant une courte période. Comme révélé par Cryptopolitan, cela leur a permis d'agir en tant que nœuds de validation malveillants, de signer des retraits illégaux et de voler environ 2,8 millions de dollars en tokens SHIB, ETH et BONE.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
