Attaque de chaîne d'approvisionnement sur Axios pourrait compromettre les portefeuilles crypto
- Les packages npm Axios ont été publiés via un compte contributeur compromis.
- Ces packages contenaient un cheval de Troie capable d’injecter des charges utiles tout en supprimant son propre dossier d’installation.
- L’attaque a duré trois heures, avec des pertes cryptographiques potentielles inconnues en cas d’exposition des portefeuilles.
Axios, l'une des bibliothèques JavaScript les plus populaires, pourrait être compromise et impliquée dans une attaque de portefeuille crypto. L'attaque sur le package npm devient plus courante, attaquant directement les projets, les développeurs et les utilisateurs finaux.
Un package npm Axios a été publié sur la bibliothèque JavaScript officielle, puis supprimé quelques heures plus tard. Des experts en sécurité on-chain ont intercepté l'attaque, qui était active pendant environ trois heures.
@npmjs @GHSecurityLab il y a une attaque de chaîne d'approvisionnement active sur [email protected] qui tire un package malveillant publié aujourd'hui – [email protected] – quelqu'un a pris le contrôle d'un compte mainteneur pour Axios
— Maxwell (@mvxvvll) mars 31, 2026
Les packages npm ont été compromis via les identifiants de @jasonsaayman, alors que les chercheurs recherchaient toujours des signes que le compte avait été compromis. Les packages affectés ont été identifiés comme [email protected] et [email protected].
Comme l'a signalé Cryptopolitan a rapporté auparavant, les attaques npm ciblent souvent les portefeuilles crypto et sont particulièrement risquées pour les projets décentralisés avec de grandes participations d'équipe.
Que s'est-il passé dans l'attaque npm d'Axios ?
StepSecurity a été parmi les premiers à identifier le problème. Deux versions malveillantes de la bibliothèque cliente HTTP Axios ont été publiées via les identifiants compromis d'un mainteneur principal d'Axios, contournant le pipeline de publication normal sur GitHub.
Selon StepSecurity, il s'agissait de l'attaque la plus sophistiquée contre un package npm top-10 largement utilisé. La version malveillante du package injecte une nouvelle dépendance, [email protected], qui n'est pas importée dans le code source d'axios. La dépendance exécute un script post-installation, actif sur tous les systèmes d'exploitation.
Après utilisation du npm, le client est infecté par un dropper de cheval de Troie d'accès à distance, qui dispose d'un serveur en direct et délivre les charges utiles. Le le logiciel malveillant se supprime également lui-même et remplace le suspect .json par une version propre pour échapper à la détection.
Quels types de projets ont été affectés ?
Les packages npm figuraient parmi les plus populaires, avec jusqu'à 100 millions de téléchargements hebdomadaires. Cependant, à ce stade, il n'y a aucun rapport de mouvement non autorisé de crypto. Précédemment, une attaque npm n'a entraîné que 1 000 dollars de pertes crypto en jetons obscurs.
Le seul moyen de limiter les npm malveillants est de suivre les versions et de ne pas autoriser les mises à jour automatiques, ou de vérifier les nouvelles versions pour des téléchargements malveillants potentiels.
Nouvelle attaque de chaîne d'approvisionnement cette fois pour npm axios, la bibliothèque cliente HTTP la plus populaire avec 300 millions de téléchargements hebdomadaires.
En analysant mon système, j'ai trouvé une importation utilisée depuis googleworkspace/cli il y a quelques jours lorsque j'expérimentais avec les cli gmail/gcal. La version installée (heureusement)… https://t.co/9DOVWH5KK1
— Andrej Karpathy (@karpathy) mars 31, 2026
Les chercheurs ont également découvert deux packages malveillants supplémentaires délivrant des charges utiles de la même manière – @shadanai/openclaw et @qqbrowser/openclaw-qbot. L'attaque fait suite à l'injection de code malveillant LiteLLM d'une semaine seulement.
Il n'y a aucun rapport de projets Web3 ou OpenClaw affectés ou de crypto volée, pendant la durée de l'attaque. Cependant, des avertissements ont été émis indiquant que les attaques npm pourraient désormais devenir la norme, soit par des identifiants volés, soit par des éditeurs non autorisés. La menace fait suite à des avertissements précédents sur le code malveillant utilisant le plateforme de compétences OpenClaw.
Les packages ne se limitent pas aux projets Web3 ou bot, et peuvent affecter toutes les charges utiles liées aux portefeuilles crypto. La perte de confiance dans les installations npm et pip pour Python pourrait également éroder la confiance générale dans l'écosystème de bibliothèques, avec des appels à un chemin de téléchargement plus sécurisé.
L'utilisation d'agents IA pourrait également entraîner un téléchargement indiscriminé de packages, propageant la menace. Les effets réels sur les portefeuilles crypto pourraient ne pas être immédiats, mais ils exposent toujours potentiellement les données du portefeuille.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
