Gli attaccanti dirottano l'account del maintainer di npm, rubano le chiavi crittografiche
- Gli attaccanti hanno sequestrato un account npm di maintainer inattivo e pubblicato tre versioni maliziose di node-ipc per rubare le credenziali.
- L'attaccante ha re-registrato il dominio email scaduto del maintainer e sfruttato il flusso di reimpostazione password di npm per ottenere l'accesso alla pubblicazione.
- Sviluppatori o progetti crypto che hanno installato o aggiornato automaticamente node-ipc durante quel periodo devono verificare le dipendenze e ruotare immediatamente tutti i segreti esposti.
Tre versioni avvelenate di node-ipc sono state pubblicate sul registro npm il 14 maggio, secondo SlowMist. Gli attaccanti hanno dirottato un account maintainer inattivo e hanno caricato codice progettato per sottrarre credenziali degli sviluppatori, chiavi private, segreti delle API degli exchange, tutto, direttamente dai file .env.
node-ipc è un popolare pacchetto Node.js che permette a diversi programmi di comunicare tra loro sulla stessa macchina, o talvolta attraverso una rete.
SlowMist intercetta la violazione
La società di sicurezza blockchain SlowMist ha individuato la violazione attraverso il loro sistema di intelligence sulle minacce MistEye.
Versioni 9.1.6, 9.2.3 e 12.0.1
MistEye ha trovato tre versioni malevole tra cui:
- Versione 9.1.6.
- Versione 9.2.3.
- Versione 12.0.1.
Tutte le versioni sopra menzionate trasportavano lo stesso payload offuscato di 80 KB.
Node-ipc gestisce la comunicazione inter-processo in Node.js. Aiuta essenzialmente i programmi Node.js a inviare messaggi avanti e indietro. Oltre 822.000 persone lo scaricano ogni settimana.
Node-ipc è utilizzato in tutto lo spazio cripto. Viene utilizzato negli strumenti che gli sviluppatori usano per costruire dApp, nei sistemi che testano e distribuiscono automaticamente il codice (CI/CD) e negli strumenti di sviluppo quotidiani.
Ogni versione infetta aveva lo stesso codice malevolo nascosto agganciato ad essa. Nel momento in cui qualsiasi programma caricava node-ipc, il codice veniva eseguito automaticamente.
I ricercatori di StepSecurity hanno capito come è avvenuto l'attacco. Lo sviluppatore originale di node-ipc aveva un indirizzo email legato al dominio atlantis-software[.]net. Tuttavia, il dominio è scaduto il 10 gennaio 2025.
Il 7 maggio 2026, l'attaccante ha acquistato lo stesso dominio attraverso Namecheap, ottenendo il controllo della vecchia email dello sviluppatore. Da lì, ha semplicemente premuto "password dimenticata" su npm, l'ha reimpostata ed è entrato con pieni permessi per pubblicare nuove versioni di node-ipc.
Lo sviluppatore originale non aveva idea che tutto ciò stesse accadendo. Le versioni malevole sono rimaste attive per circa due ore prima della rimozione.
Lo stealer cerca 90+ tipi di credenziali
Il payload incorporato cerca oltre 90 tipi di credenziali per sviluppatori e cloud. Token AWS, segreti di Google Cloud e Azure, chiavi SSH, configurazioni Kubernetes, token GitHub CLI: tutti presenti nella lista.
Per gli sviluppatori di criptovalute, il malware raids specificamente i file .env. Questi di solito contengono chiavi private, credenziali dei nodi RPC e segreti delle API degli exchange.
Per far uscire di nascosto i dati rubati, il payload utilizza il tunneling DNS. Nasconde praticamente i file all'interno di normali richieste di ricerca su Internet. La maggior parte degli strumenti di sicurezza di rete non lo rileva.
I team di sicurezza affermano che qualsiasi progetto che ha eseguito npm install o ha aggiornato automaticamente le dipendenze durante quella finestra di due ore dovrebbe presumere di essere compromesso.
Azioni immediate, secondo le indicazioni di SlowMist:
- Controlla i file lock per le versioni di node-ipc 9.1.6, 9.2.3 o 12.0.1.
- Ripristina l'ultima versione che sai essere sicura.
- Cambia tutte le credenziali che potrebbero essere trapelate.
Gli attacchi alla catena di fornitura su npm sono diventati una consuetudine nel 2026. I progetti crittografici vengono colpiti più duramente della maggior parte degli altri perché le credenziali rubate possono essere convertite in denaro rubato rapidamente.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Quali versioni di node-ipc contengono il malware?
Le versioni 9.1.6, 9.2.3 e 12.0.1. SlowMist e StepSecurity le hanno entrambe segnalate. Tutte e tre contenevano lo stesso payload offuscato che si esegue non appena si carica il pacchetto.
Come ha fatto l'attaccante a prendere il controllo dell'account del maintainer?
Il dominio email del maintainer originale, atlantis-software[.]net, è scaduto il 10 gennaio 2025. L'attaccante lo ha re-registrato tramite Namecheap il 7 maggio 2026, per poi utilizzare il processo di reimpostazione password di npm per appropriarsi dell'account.
Cosa estrae esattamente lo stealer?
Oltre 90 tipi di credenziali. Token AWS, credenziali Google Cloud e Azure, chiavi SSH, configurazioni Kubernetes, token GitHub CLI, file di cronologia shell e file .env, che spesso contengono chiave private crittografiche e segreti API degli exchange.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
