- JavaScriptライブラリの信頼できるメンテナが侵害され、18の広くダウンロードされているnpmパッケージにマルウェアコードが注入されました。
- このコードは、外見が似ている宛先アドレスと取引を置き換えます。
- 開発者が安全を確認するまで、すべての暗号通貨取引を保留するようユーザーに要請されました。
広範なサプライチェーン攻撃が発見され、すべてのチェーンで暗号ウォレットからのデータ追跡や資産の盗難が疑われています。大手で信頼されるアカウントのnpmライブラリが侵害されたと、研究者が発表しました。
広範なnpmサプライチェーン攻撃は、最も一般的な暗号ウォレットの所有者を対象としている可能性があります。LedgerのCTOであるCharles Guillemet氏は、ユーザーに対し、一般的なブラウザベースまたはデスクトップウォレットを使用した暗号取引を避け、ハードウェアウォレットを通じてのみ慎重に取引するよう警告しました。
🚨 大規模なサプライチェーン攻撃が進行中：評判の高い開発者のNPMアカウントが侵害されました。影響を受けたパッケージはすでに10億回以上ダウンロードされており、JavaScriptエコシステム全体がリスクにさらされている可能性があります。
悪意のあるペイロードは…
— Charles Guillemet (@P3b7_) 9月 8日、2025
研究者は信頼されるJavaScript npmの1つを発見しました accounts 悪意のあるコードを含むパッケージを広げており、暗号取引を追跡甚至いは振り向けることができました。攻撃の直後、メンテナ 連絡を取りました Hackernoonのプロファイルを通じてコミュニティに警告し、影響を受けたパッケージは依然として主に侵害されており、安全なバージョンに置き換えられていないことを伝えました。
npmメンテナのアカウントはまだ回復しておらず、ソーシャルエンジニアリングと偽の2FAプロセスを通じて盗まれた可能性が高いです。GitHubユーザーは、npmjsサポートに由来する不審な メール を報告しました。
現在の事象は、歴史上最も大規模なnpmサプライチェーン攻撃と見なされています。メールが他のアカウントを盗むことができれば、より多くのサプライヤーが侵害される可能性があります。
大規模なサプライチェーン攻撃がソフトウェア暗号ウォレットを対象
先週、Cryptopolitan 報告しました。これには完全な準備預金と独立監査が含まれます。 Ethereum上で暗号を盗むために侵害された2つのパッケージについて
現在の攻撃ははるかに大規模で、合計18の非常に人気のあるnpmパッケージに影響を与え、過去1週間で20億回のダウンロードがありました。現時点では、これらのパッケージのどれくらいがJavaScriptエコシステム全体に広がっているかは不確かです。
サプライチェーン攻撃は、暗号空間における最大の脅威の1つと見なされており、ユーザーが正しいトランザクションに署名しているように見えても、資金の宛先をその場で変更する可能性があります。
現在、いかなる暗号トランザクションにも署名しないことを強くお勧めします。
人気のあるNPMパッケージで大規模なサプライチェーン攻撃が発生しており、さまざまな暗号ウェブサイト（フロントエンド、実際のコントラクトではない）が侵害されている可能性があります。
トランザクションの宛先アドレスを変更し…
— cygaar (@0xCygaar) 9月 8日、2025
再び、最大の脅威はソフトウェアウォレットユーザーに対してであり、MetaMask、Trust Wallet、Exodusなどが影響を受けていると報告されています。すべてのnpmパッケージは無効化されましたが、開発者は欠陥のあるパッケージの使用を中止するためにコードに戻る必要があります。
攻撃の数時間後、AxiomおよびJupiter DEXは、欠陥のあるnpmパッケージを一切使用しておらず、取引は継続できると確認しました。Kaminoも、欠陥のあるコードをデプロイしていないと報告しました。
開発者が許可を出すまで、トランザクションの署名を避けるようユーザーに要請
現在、攻撃者がプライベートシードを直接盗む能力を持っている可能性は低いと考えられています。なぜなら、それはウォレットセキュリティにおけるさらに大きな問題を引き起こすからです。現在、ユーザーのウォレットは、トランザクションを送信または署名しない限り安全です。
署名の前にアドレスの入れ替えが発生し、攻撃者は 似ている 宛先ウォレットを使用します。アドレスはほとんど似ており、署名する前に文字ごとの詳細な確認が必要です。通常、暗号ユーザーは最初の4桁と最後の4桁のみを確認するため、アドレス入れ替え攻撃に対して脆弱になります。
ただし、スマートコントラクトや自動取引も存在します。エンドユーザーは、すべてのブラウザウォレットをロックして無効にし、トランザクションの署名を控えるよう注意喚起されています。また、このニュースは月曜日の暗号通貨ラリーの詳細な内訳を含んでいませんでした。さらに、オンチェーンの探偵たちも、個別のウォレットからの大規模または異常な損失に関する警告を発していません。
この攻撃は、Web3およびDeFiエコシステム内のすべてのアプリに影響を与える可能性があります。現在、すべてのチェーンで取引は継続されています。研究者たちは、潜在的な送信先のスクリーンショットを撮影しています。 ウォレット, その中にはまだ空欄のものもあります。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
クリスティーナ・バシレワ
Hristina Vasileva氏は、DeFi、ビジネス、経済ニュースを専門としています。ソフィア大学で哲学の修士号を取得し、その前には経営学、ジャーナリズム、マスメディアの4年間の学士課程を修了しました。同国の主要新聞の一つで商品市場や企業業績を担当し、現在はCryptopolitanの寄稿記者を務めています。
