Charles Guillemet, CTO di Ledger: evitare le transazioni cripto, scoperto un attacco alla catena di fornitura

È stato scoperto un ampio attacco alla catena di fornitura, potenzialmente in grado di tracciare i dati di un portafoglio cripto e rubare asset su tutte le catene. La libreria npm di un account grande e affidabile è stata compromessa, hanno annunciato i ricercatori. 

Un ampio attacco alla catena di fornitura npm sta potenzialmente prendendo di mira i proprietari dei portafogli cripto più comuni. Charles Guillemet, CTO di Ledger, ha avvertito gli utenti di evitare le transazioni cripto utilizzando portafogli basati su browser o desktop comuni, e di effettuare transazioni solo attraverso portafogli hardware con grande cautela. 

🚨 È in corso un attacco su larga scala alla catena di fornitura: l'account NPM di uno sviluppatore reputabile è stato compromesso. I pacchetti interessati sono già stati scaricati oltre 1 miliardo di volte, il che significa che l'intero ecosistema JavaScript potrebbe essere a rischio.

Il payload malevolo funziona…

— Charles Guillemet (@P3b7_) September 8, 2025

I ricercatori hanno scoperto che uno dei fidati JavaScript npm rappresenta stava diffondendo pacchetti con codice malevolo in grado di tracciare e persino di dirottare le transazioni cripto. Subito dopo l'attacco, il maintainer ha contattato la comunità tramite un profilo Hackernoon per avvertire che i pacchetti interessati sono ancora per lo più compromessi e devono ancora essere sostituiti con versioni sicure.

L'account del maintainer npm non è ancora stato recuperato ed è stato probabilmente rubato tramite ingegneria sociale e un falso processo 2FA. Gli utenti di GitHub hanno segnalato un sospetto email originario del supporto npmjs. 

L'evento attuale è considerato il più grande attacco alla catena di fornitura npm nella storia. Altri fornitori potrebbero essere compromessi se le email riescono a rubare altri account.

Attacco su larga scala alla catena di fornitura che prende di mira i portafogli software cripto

Nella scorsa settimana, Cryptopolitan ha riportato su due pacchetti compromessi per rubare criptovalute su Ethereum. 

L'attacco attuale è molto più ampio: colpisce un totale di 18 pacchetti npm molto popolari, con 2 miliardi di download nella scorsa settimana. Al momento, non è certo quanti di questi pacchetti si siano diffusi nell'ecosistema JavaScript. 

L'attacco alla catena di fornitura è considerato una delle maggiori minacce nello spazio cripto, potenzialmente cambiando la destinazione dei fondi al volo, nonostante l'utente sembri firmare la transazione corretta. 

Raccomando vivamente di non firmare alcuna transazione cripto al momento.

C'è un enorme attacco alla catena di fornitura sui pacchetti NPM popolari che potrebbero aver compromesso vari siti web cripto (frontend, non i contratti effettivi).

Cambia l'indirizzo di destinazione delle transazioni e…

— cygaar (@0xCygaar) September 8, 2025

Ancora una volta, la miniglia maggiore è contro gli utenti di portafogli software, che secondo i rapporti interessano MetaMask, Trust Wallet, Exodus e altri. Tutti i pacchetti npm sono stati disabilitati, ma gli sviluppatori devono tornare al loro codice per interrompere l'utilizzo dei pacchetti difettosi. 

Ore dopo l'attacco, Axiom e Jupiter DEX hanno confermato di non utilizzare nessuno dei pacchetti npm difettosi e che il trading può continuare. Anche Kamino ha segnalato di non aver distribuito alcun codice difettoso.

Gli utenti sono invitati a evitare di firmare transazioni fino a quando gli sviluppatori non danno il via libera

Per ora, si ritiene improbabile che l'attaccante sia in grado di rubare direttamente i semi privati, poiché ciò esporrebbe problemi ancora più grandi con la sicurezza del portafoglio. Attualmente, i portafogli degli utenti sono sicuri a meno che non invino o firmino una transazione. 

Lo scambio di indirizzo avviene prima della firma, poiché l'attaccante utilizza portafogli di destinazione simili. Gli indirizzi appaiono quasi identici, richiedendo una verifica lettera per lettera dettagliata prima della firma. Di solito, gli utenti cripto controllano solo le prime e le ultime quattro cifre, lasciandosi esposti ad attacchi di scambio di indirizzo. 

Tuttavia, ci sono anche smart contract e transazioni automatizzate. Si consiglia agli utenti finali di bloccare e disabilitare tutti i portafogli browser e di astenersi dal firmare transazioni. La notizia non ha nemmeno interrotto il rally cripto di lunedì. Inoltre, gli investigatori on-chain non hanno inviato avvisi di perdite grandi o insolite da portafogli individuali.

L'attacco può influenzare tutte le app nell'ecosistema Web3 e DeFi. Attualmente, le transazioni continuano su tutte le catene. I ricercatori hanno fatto uno screenshot della potenziale destinazione identificati, alcune delle quali sono ancora vuote.