Attacco alla catena di fornitura su Axios potrebbe compromettere i portafogli crypto

Axios, una delle librerie JavaScript più popolari, potrebbe essere compromessa e coinvolta in un attacco ai portafogli crypto. L'attacco al pacchetto npm sta diventando più comune, attaccando direttamente progetti, sviluppatori e utenti finali. 

Un pacchetto npm Axios è stato pubblicato sulla libreria JavaScript ufficiale e rimosso poche ore dopo. Gli esperti di sicurezza on-chain hanno intercettato l'attacco, che era attivo per circa tre ore. 

@npmjs @GHSecurityLab c'è un attacco alla catena di fornitura attivo su [email protected] che richiama un pacchetto malevolo pubblicato oggi – [email protected] – qualcuno ha preso il controllo di un account manutentore per Axios

— Maxwell (@mvxvvll) Marzo 31, 2026

I pacchetti npm sono stati compromessi attraverso le credenziali di @jasonsaayman, mentre i ricercatori cercavano ancora segni che l'account fosse stato compromesso. I pacchetti interessati sono stati identificati come [email protected] e [email protected].

As Cryptopolitan ha riportato in precedenza, gli attacchi npm spesso prendevano di mira i portafogli crypto ed erano particolarmente rischiosi per i progetti decentralizzati con grandi riserve del team. 

Cosa è successo nell'attacco npm ad Axios? 

StepSecurity fu tra i primi a identificare il problema. Due versioni malevole della libreria client HTTP Axios furono pubblicate attraverso le credenziali compromesse di un manutentore principale di Axios, aggirando la normale pipeline di pubblicazione su GitHub. 

Secondo StepSecurity, questo è stato l'attacco più sofisticato contro un pacchetto npm top-10 ampiamente utilizzato. La versione del pacchetto malevolo inietta una nuova dipendenza, [email protected], che non è importata nel codice sorgente di axios. La dipendenza esegue uno script post-installazione, attivo su tutti i sistemi operativi. 

Dopo aver utilizzato npm, il client viene infettato da un dropper trojan di accesso remoto, che ha un server live e consegna i payload. Il Il si cancella anche e sostituisce il .json sospetto con una versione pulita per eludere il rilevamento. 

Quali tipi di progetti sono stati interessati?

I pacchetti npm erano tra i più popolari, con fino a 100 milioni di download settimanali. Tuttavia, al momento, non ci sono rapporti di movimenti non autorizzati di crypto. In precedenza, un attacco npm ha portato solo a 1.000 dollari di perdite crypto da token oscuri. 

L'unico modo per limitare i npm malevoli è tracciare le versioni e non consentire aggiornamenti automatizzati, o controllare le nuove versioni per caricamenti malevoli potenziali. 

Nuovo attacco alla catena di fornitura questa volta per npm axios, la libreria client HTTP più popolare con 300 milioni di download settimanali.

Scansionando il mio sistema ho trovato un uso importato da googleworkspace/cli di qualche giorno fa quando stavo sperimentando con gmail/gcal cli. La versione installata (fortunatamente)… https://t.co/9DOVWH5KK1

— Andrej Karpathy (@karpathy) Marzo 31, 2026

I ricercatori hanno anche scoperto due pacchetti malevoli aggiuntivi che consegnano payload nello stesso modo – @shadanai/openclaw e @qqbrowser/openclaw-qbot. L'attacco segue l'iniezione di codice malevolo di LiteLLM di una sola settimana. 

Non ci sono rapporti di progetti Web3 o OpenClaw interessati o crypto rubati, per la durata dell'attacco. Tuttavia, sono stati emessi avvertimenti che gli attacchi npm potrebbero ora diventare la norma, sia attraverso credenziali rubate che editori non autorizzati. La minaccia segue avvertimenti precedenti su codice malevolo che utilizza il Piattaforma di competenze OpenClaw. 

I pacchetti non sono limitati ai progetti Web3 o bot, e possono influenzare qualsiasi payload collegato ai portafogli crypto. La perdita di fiducia negli installazioni npm e pip per Python potrebbe anche erodere la fiducia generale nell'ecosistema delle librerie, con richieste per un percorso di caricamento più sicuro. 

L'uso di agenti AI potrebbe anche portare al download indiscriminato di pacchetti, diffondendo la minaccia. Gli effetti reali sui portafogli crypto potrebbero non essere immediati, ma potrebbero comunque esporre i dati del portafoglio.