Ataque à cadeia de suprimentos do Axios pode comprometer carteiras de criptomoedas
- Os pacotes npm Axios foram publicados por meio de uma conta de colaborador comprometida.
- Os pacotes continham um Trojan capaz de entregar payloads enquanto deletava sua própria instalação.
- O ataque durou três horas, com perdas criptográficas desconhecidas em caso de exposição da carteira.
O Axios, uma das bibliotecas JavaScript mais populares, pode estar comprometido e envolvido em um ataque a carteiras de criptomoedas. O ataque ao pacote npm está se tornando mais comum, atacando diretamente projetos, desenvolvedores e usuários finais.
Um pacote npm do Axios foi publicado na biblioteca JavaScript oficial e despublicado apenas algumas horas depois. Especialistas em segurança on-chain interceptaram o ataque, que esteve ativo por cerca de três horas.
@npmjs @GHSecurityLab há um ataque à cadeia de suprimentos ativo no [email protected] que puxa um pacote malicioso publicado hoje – [email protected] – alguém assumiu a conta de um mantenedor do Axios
— Maxwell (@mvxvvll) Março 31, 2026
Os pacotes npm foram comprometidos através das credenciais de @jasonsaayman, enquanto os pesquisadores ainda procuravam sinais de que a conta havia sido comprometida. Os pacotes afetados foram identificados como [email protected] e [email protected].
Como o Cryptopolitan reportou anteriormente, os ataques ao npm frequentemente visavam carteiras de criptomoedas e eram especialmente arriscados para projetos descentralizados com grandes holdings de equipe.
O que aconteceu no ataque ao npm do Axios?
StepSecurity esteve entre os primeiros a identificar o problema. Duas versões maliciosas da biblioteca de cliente HTTP Axios foram publicadas através das credenciais comprometidas de um mantenedor principal do Axios, contornando o pipeline de publicação normal no GitHub.
De acordo com a StepSecurity, este foi o ataque mais sofisticado contra um dos 10 principais pacotes npm mais utilizados. A versão maliciosa do pacote injeta uma nova dependência, [email protected], que não é importada no código-fonte do axios. A dependência executa um script de pós-instalação, ativo em todos os sistemas operacionais.
Após o uso do npm, o cliente é infectado com um dropper de trojan de acesso remoto, que possui um servidor ativo e entrega os payloads. O malware também se autodestrói e substitui o .json suspeito por uma versão limpa para evitar a detecção.
Quais tipos de projetos foram afetados?
Os pacotes npm estavam entre os mais populares, com até 100 milhões de downloads semanais. No entanto, neste momento, não há relatos de movimentação não autorizada de criptomoedas. Anteriormente, um ataque ao npm resultou em apenas US$ 1.000 de perdas em criptomoedas de tokens obscuros.
A única maneira de limitar o npm malicioso é rastrear as versões e não permitir atualizações automáticas, ou verificar novas versões em busca de uploads maliciosos potenciais.
Novo ataque à cadeia de suprimentos desta vez para o npm axios, a biblioteca de cliente HTTP mais popular, com 300 milhões de downloads semanais.
Ao escanear meu sistema, encontrei um uso importado do googleworkspace/cli de alguns dias atrás, quando eu estava experimentando com a linha de comando do gmail/gcal. A versão instalada (felizmente)… https://t.co/9DOVWH5KK1
— Andrej Karpathy (@karpathy) Março 31, 2026
Os pesquisadores também descobriram dois pacotes maliciosos adicionais entregando payloads da mesma maneira – @shadanai/openclaw e @qqbrowser/openclaw-qbot. O ataque segue a injeção de código malicioso do LiteLLM por apenas uma semana.
Não há relatos de projetos Web3 ou OpenClaw afetados ou de qualquer criptomoeda roubada, durante a duração do ataque. No entanto, foram emitidos avisos de que os ataques ao npm podem se tornar a norma, seja por meio de credenciais roubadas ou publicadores não autorizados. A ameaça segue avisos anteriores sobre código malicioso usando o plataforma de habilidades OpenClaw.
Os pacotes não se limitam a projetos Web3 ou bots, e podem afetar qualquer payload vinculado a carteiras de criptomoedas. A perda de confiança nas instalações do npm e pip para Python também pode corroer a confiança geral no ecossistema de bibliotecas, com pedidos por um caminho de upload mais seguro.
O uso de agentes de IA também pode levar ao download indiscriminado de pacotes, espalhando a ameaça. Os efeitos reais nas carteiras de criptomoedas podem não ser imediatos, mas ainda podem expor os dados da carteira.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
