攻撃者がnpmのメンテナアカウントを乗っ取り、暗号化キーを盗む

SlowMistによると、node-ipcの3つの汚染されたバージョンが5月14日にnpmレジストリで公開されました。 攻撃者は休眠中のメンテナーアカウントを乗っ取り、.envファイルから開発者の認証情報、秘密鍵、取引所APIシークレットなどを直接盗み出すように設計されたコードをプッシュしました。

node-ipcは、同じマシン上、または場合によってはネットワークを介して、異なるプログラムが互いに通信できるようにする人気のあるNode.jsパッケージです。

SlowMistによる侵害の検出

ブロックチェーンセキュリティ企業、SlowMistは、彼らのMistEye脅威インテリジェンスシステムを通じてこの侵害を発見しました。

バージョン9.1.6、9.2.3、および12.0.1

MistEyeは以下の3つの悪意のあるバージョンを検出しました：

• バージョン9.1.6。
• バージョン9.2.3。
• バージョン12.0.1。

上記のすべてのバージョンは、同じ難読化された80KBのペイロードを携えていました。

node-ipcはNode.jsにおけるプロセス間通信を処理します。基本的に、Node.jsプログラムがメッセージをやり取りできるように支援します。毎週82万2,000人以上がこれをダウンロードしています。

node-ipcは暗号通貨空間全体で使用されています。これは、開発者がdAppsを構築するために使用するツール、コードを自動的にテストしてデプロイするシステム（CI/CD）、そして日常の開発ツールで使用されています。

各感染バージョンには、同じ隠された悪意のあるコードが追加されていました。プログラムがnode-ipcをロードする瞬間、コードは自動的に実行されました。

StepSecurityの研究者は、攻撃がどのように行われたかを解明しました。node-ipcの元の開発者は、ドメインatlantis-software[.]netに関連付けられたメールアドレスを持っていました。しかし、そのドメインは2025年1月10日に期限切れとなりました。

2026年5月7日、攻撃者はNamecheapを通じて同じドメインを購入し、開発者の古いメールアドレスの制御権を得ました。そこから、npmで「パスワードを忘れた」をクリックしてリセットし、node-ipcの新しいバージョンを公開する完全な権限で侵入しました。

本来の開発者は、これらの出来事が何一つ起こっていないことに気づいていませんでした。悪意のあるバージョンは削除されるまで約2時間公開されていました。

スチーラーは90+の認証情報タイプを検索します

埋め込まれたペイロードは、90種類以上の開発者およびクラウド認証情報を検索します。AWSトークン、Google CloudおよびAzureのシークレット、SSHキー、Kubernetes構成、GitHub CLIトークンなどがリストに含まれています。

暗号通貨開発者にとって、このマルウェアは特に.envファイルを標的にします。これらには通常、秘密鍵、RPCノード認証情報、取引所APIシークレットが含まれています。

盗まれたデータをこっそり持ち出すために、ペイロードはDNSトンネリングを使用します。これは、ファイルを正常に見えるインターネットのルックアップリクエストの中に隠します。ほとんどのネットワークセキュリティツールはこれを検出しません。

セキュリティチームは、実行したすべてのプロジェクトに対して、 npm install またはその2時間のウィンドウ中に依存関係が自動更新された場合、侵害されたものと見なすべきだと述べています。

SlowMistのガイダンスに基づく即時の措置：

• ロックファイルを確認し、node-ipcのバージョン9.1.6、9.2.3、または12.0.1が含まれていないか確認します。
• 最後に安全であることがわかっているバージョンにロールバックします。
• 漏洩した可能性のあるすべての認証情報を変更します。

npmにおけるサプライチェーン攻撃は、2026年には常態化しています。暗号通貨プロジェクトは、盗まれたログイン情報がすぐに盗まれた資金に変わる可能性があるため、他のプロジェクトよりも大きな被害を受けます。