Solana, les développeurs Ethereum victimes d'attaques de typosquatting dans les packages npm

Les développeurs Ethereum et Solana ont été ciblés par cinq paquets npm malveillants qui dérobent les clés privées et les transmettent à l'attaquant. Ces paquets utilisent le typosquatting, imitant des bibliothèques cryptographiques légitimes.

Des chercheurs en sécurité de Socket ont découvert cinq paquets npm malveillants publiés sous un seul compte. Cette campagne malveillante cible les écosystèmes Ethereum et Solana et s'appuie sur une infrastructure de commande et de contrôle (C2) active.

L'un des paquets a été dépublié en cinq minutes, mais il dissimulait son code et envoyait des données volées à l'attaquant.

Des pirates informatiques ciblent les développeurs Ethereum et Solana

Les pirates informatiques spécialisés dans les cryptomonnaies les ciblent pas uniquement investisseurs particuliers et les personnes âgées. Ils utilisent des techniques d'ingénierie sociale et de typosquatting pour tromper les développeurs et leur voler leurs cryptomonnaies.

Le rôle de ces paquets malveillants est de rediriger les clés vers un bot Telegram codé en dur.

Cette attaque malveillante via npm exploite les fonctions utilisées par les développeurs pour transmettre des clés privées. Lorsqu'une fonction est appelée, le package envoie la clé au bot Telegram de l'attaquant avant de renvoyer le résultat attendu. Ainsi, l'attaque reste invisible pour les développeurs non avertis.

D'après les chercheurs en sécurité, quatre paquets ciblent les développeurs Solana , tandis qu'un autre cible les développeurs Ethereum .

Les quatre packages ciblant Solana interceptent les appels decode() Base58, tandis que le package ethersproject-wallet cible le constructeur Ethereum Wallet.

Tous les packages malveillants utilisent la fonction `fetch` globale, qui requiert Node.js 18 ou une version ultérieure. Sur les versions antérieures, la requête échoue silencieusement et aucune donnée n'est dérobée.

Tous les paquets envoient des données au même Telegram . Le jeton du bot et l'identifiant de la conversation sont intégrés à chaque paquet, et aucun serveur externe n'est utilisé ; la chaîne reste donc active tant que le bot Telegram est en ligne.

Le paquet raydium-bs58 est le plus simple. Il modifie une fonction de décodage et envoie la clé avant de renvoyer le résultat. Le fichier README est copié d'un SDK légitime et le champ « auteur » est vide.

Le second paquet Solana , base-x-64, masque la charge utile par obfuscation. Celle-ci envoie un message à Telegram contenant la clé volée.

Le paquet bs58-basic ne contient pas de code malveillant en soi, mais il dépend de base-x-64 et transmet la charge utile à travers la chaîne.

Le paquet Ethereum , ethersproject-wallet, copie une bibliothèque légitime, @ethersproject/wallet. Ce paquet malveillant insère une ligne supplémentaire après la compilation. Cette modification n'apparaît que dans le fichier compilé, ce qui confirme une falsification manuelle.

Tous les paquets partagent le même point de terminaison de commande, les mêmes fautes de frappe et les mêmes artefacts de compilation. Deux paquets utilisent des fichiers compilésdent. Un autre paquet dépend directement de l'autre. Ces liens pointent vers un seul acteur utilisant le même flux de travail.

Des demandes de retrait ont été soumises à npm par des chercheurs en sécurité. Les clés privées perdues lors de cette attaque sont compromises et les fonds associés doivent être transférés rapidement vers un nouveau portefeuille.