L'attacco alla supply chain npm ha rubato solo $500 in token meme finora
- L'attacco alla catena di approvvigionamento tramite pacchetti npm ha sottratto solo 497 $ nelle prime ore, colpendo esclusivamente token meme oscuri.
- L'attacco ha interessato principalmente gli utenti di MetaMask, che hanno fatto affidamento sulla fortuna per svuotare un portafoglio di maggiori dimensioni.
- Gli indirizzi degli aggressori sono ora tracciati e noti, aumentando la consapevolezza riguardo a questo vettore di attacco nel settore cripto.
L'attacco alla supply chain scoperto di recente ha interessato solo alcuni wallet, sottraendo circa $500 in varie token. Tuttavia, l'iniezione di codice malevolo nei pacchetti JavaScript npm ha esposto una grande vulnerabilità potenziale dell'uso delle criptovalute.
Il recente attacco alla supply chain, che potenzialmente poteva svuotare i wallet cripto, non ha finito per rubare milioni. In base ai wallet aggregati utilizzati nell'attacco, solo circa $500 in asset sono stati interessati nelle prime 12 ore dopo la scoperta della vulnerabilità.
As Cryptopolitan ha riportato, inizialmente, agli utenti è stato chiesto di smettere di inviare criptovalute. Tuttavia, un sistema permissionless globale non poteva essere fermato, e ci si aspettavano perdite significative.
In base ai dati di Arkham Intelligence, i wallet dell'attaccante npm hanno rubato solo circa 0,22 SOL e altre meme token per un valore di circa $497. Nell'ultima giornata, lo spazio cripto ha visto perdite ancora maggiori dallo scambio SwissBorg e da altri protocolli. Tuttavia, l'attacco alla supply chain è ancora considerato pericoloso, e le piccole perdite sono dovute al fatto che l'attaccante non ha ottenuto il controllo di transazioni su larga scala.
L'attacco alla supply chain npm assomiglia all'hack di Bybit
L'attacco alla supply chain era in qualche modo simile all'hack di Bybit, nel cambiare l'indirizzo del wallet di destinazione nell'ultimo momento. Il codice front-end compromesso potrebbe potenzialmente deviare gli asset dai siti che utilizzavano alcuni dei pacchetti JavaScript contaminati.
Le persone sembrano non capire l'exploit npm. È come quando Bybit ha perso un miliardo di dollari agli hacker attraverso la composizione dell'interfaccia utente multisig Safe. Il codice front-end sui siti web che utilizzavano i pacchetti malevoli è compromesso. Quindi assicurati di verificare attentamente le transazioni.
— Beanie (@beaniemaxi) September 8, 2025
Nel caso dell'hack di Bybit, l'exploit front-end era deliberato e limitato, ma l'iniezione di codice nella supply chain npm ha interessato fino a 2 miliardi di download settimanali. Le prime relazioni mostrano che gli effetti dei pacchetti npm contaminati erano limitati.
La maggior parte dei principali venue Web3 ha riportato che il loro codice era sicuro e il trading poteva continuare. La maggior parte dei token rubati erano su Ethereum, e includevano BRETT, DORKY, VISTA e GONDOLA, senza ETH preso.
L'attacco ha interessato i wallet di alcuni trader DEX su piccola scala e Uniswap fornitori di liquidità, ma non su larga scala, mostrando che le app stesse non erano compromesse. Il rischio risiedeva nel client finale che firmava la transazione senza una verifica manuale sufficiente.
Le criptovalute sono ancora a rischio dall'attacco npm?
I wallet cripto sono generalmente a rischio da attacchi alla supply chain. Tuttavia, il potenziale di rubare token dipende dalle app stesse e da una finestra di tempo relativamente piccola per eseguire l'exploit.
Gli esempi di codice malevolo per il furto di criptovalute codice sono stati ampiamente pubblicati, potenzialmente proteggendo gli sviluppatori di app.
Gli attacchi si sono verificati dopo nuovi download, il che significa che le vulnerabilità sono state iniettate in un numero limitato di app cripto. Ore dopo l'attacco, è stato anche chiaro che gli utenti di MetaMask sono stati i più colpiti, senza un targeting specifico dell'ecosistema del wallet desktop.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hristina Vasileva
Hristina Vasileva si specializza in notizie su DeFi, business ed economia. Si è laureata presso l'Università di Sofia con un Master in Filosofia, dopo aver completato una laurea triennale quadriennale in Amministrazione Aziendale, Giornalismo e Comunicazione di Massa. Ha lavorato per uno dei principali quotidiani del paese, coprendo il settore delle materie prime e i risultati aziendali. Attualmente, Hristina è autrice di notizie collaboratrice per Cryptopolitan.
