レジャーCTOのチャールズ・ギルメット氏：仮想通貨取引を避ける、サプライチェーン攻撃を発見

広範囲にわたるサプライチェーン攻撃が発見されました。暗号資産ウォレットからデータを trac、すべてのチェーン上の資産を盗む可能性があります。研究者らは、大規模で信頼できるアカウントのnpmライブラリが侵害されたと発表しました。. 

npmサプライチェーン攻撃が広範囲に及んでおり、最も一般的な暗号資産ウォレットの所有者が標的となっている可能性があります。LedgerのCTOであるCharles Guillemet氏は、一般的なブラウザベースまたはデスクトップウォレットを使用した暗号資産取引を避け、ハードウェアウォレットのみで慎重に取引を行うようユーザーに警告しました。. 

🚨 大規模なサプライチェーン攻撃が進行中です。評判の良い開発者のNPMアカウントが侵害されました。影響を受けたパッケージはすでに10億回以上ダウンロードされており、JavaScriptエコシステム全体が危険にさらされている可能性があります。.

悪意のあるペイロードは機能します…

— シャルル・ギルメ (@P3b7_) 2025 年 9 月 8 日

研究者たちは、信頼できるJavaScript npm アカウント 可能な悪意のあるコードを含むパッケージを拡散していること trac。攻撃後まもなく、メンテナーは 連絡を取り 、影響を受けたパッケージの大部分が依然として侵害されており、安全なバージョンに置き換えられていないことを警告しました。

npmメンテナーのアカウントはまだ復旧しておらず、ソーシャルエンジニアリングと偽の2段階認証プロセスによって盗まれた可能性が最も高い。GitHubユーザーから、npmjsサポートを名乗る不審な メール 。 

今回の事件は、npmのサプライチェーンに対する史上最大の攻撃と見られています。メールが他のアカウントを盗み出すことに成功した場合、さらに多くのサプライヤーが被害に遭う可能性があります。.

大規模なサプライチェーン攻撃がソフトウェア暗号ウォレットを標的に

先週、 Cryptopolitan 報じた 上の仮想通貨を盗むために2つのパッケージが侵害されたことを Ethereum。 

今回の攻撃ははるかに大規模で、合計18個の非常に人気の高いnpmパッケージに影響を与え、過去1週間で20億回ダウンロードされています。現時点では、これらのパッケージがJavaScriptエコシステム全体にどれだけ拡散しているかは不明です。. 

サプライチェーン攻撃は、仮想通貨業界における最大の脅威の一つと考えられており、ユーザーが正しい取引に署名しているように見えても、資金の行き先が即座に変更される可能性がある。. 

現時点では暗号通貨取引に署名しないことをtronお勧めします。.

人気の NPM パッケージに対して大規模なサプライ チェーン攻撃が発生しており、さまざまな暗号通貨 Web サイト (フロントエンド、実際のtracではありません) が侵害されている可能性があります。.

トランザクションの宛先アドレスを変更し、…

— cygaar (@0xCygaar) 2025年9月8日

再び、最大の脅威はソフトウェアウォレットユーザーであり、MetaMask、Trust Wallet、Exodusなどに影響を与えていると報告されています。すべてのnpmパッケージは無効化されていますが、開発者はコードを修正し、欠陥のあるパッケージの使用を中止する必要があります。. 

攻撃から数時間後、 Axiom と Jupiter DEXは、 欠陥のあるnpmパッケージを一切使用しておらず、取引は継続できることを確認しました。Kaminoも、欠陥のあるコードをデプロイしていないと報告しました。

開発者がゴーサインを出すまで、ユーザーはトランザクションに署名しないよう促されている

現時点では、攻撃者がプライベートシードを直接盗むことは考えにくいと考えられています。これは、ウォレットのセキュリティに関するさらに大きな問題を露呈させる可能性があるためです。現在、ユーザーのウォレットは、トランザクションを送信または署名しない限り安全です。. 

を使用するため、署名前にアドレススワップが発生します 似たような 。アドレスはほぼ類似しているため、署名前に文字単位の詳細な検証が必要になります。通常、暗号通貨ユーザーは最初の4桁と最後の4桁のみを確認するため、アドレススワップ攻撃に対して無防備な状態となります。 

しかし、スマートtracや自動取引も存在します。エンドユーザーは、すべてのブラウザウォレットをロックして無効化し、トランザクションへの署名を控えるよう推奨されます。このニュースは、月曜日の暗号通貨の急騰を覆すものではありませんでした。さらに、オンチェーンの監視機関は、個々のウォレットからの多額の損失や異常な損失について警告を発していません。.

この攻撃は、Web3および DeFi のスクリーンショットを取得しましたが ウォレット、その中にはまだ空になっているものもあります。