Ataque à cadeia de fornecimento npm roubou apenas $500 em tokens meme até agora
- O ataque à cadeia de suprimentos por meio de pacotes npm subtraiu apenas $497 nas primeiras horas, atingindo apenas tokens meme obscuros.
- O ataque afetou principalmente usuários do MetaMask, dependendo da sorte para drenar uma carteira maior.
- Os endereços dos atacantes agora são rastreados e conhecidos, aumentando a conscientização sobre esse vetor de ataque cripto.
O ataque à cadeia de fornecimento descoberto recentemente afetou apenas algumas carteiras, retirando cerca de 500 dólares em vários tokens. No entanto, a injeção de código malicioso nos pacotes JavaScript do npm expôs uma grande vulnerabilidade potencial no uso de criptomoedas.
O recente ataque à cadeia de fornecimento, que poderia potencialmente drenar carteiras de criptomoedas, não acabou por roubar milhões. Com base nas carteiras agregadas usadas no ataque, apenas cerca de 500 dólares em ativos foram afetados nas primeiras 12 horas após a descoberta da vulnerabilidade.
Como o Cryptopolitan reportou, inicialmente, os utilizadores foram instados a parar de enviar criptomoedas. No entanto, um sistema global e sem permissões não pôde ser detido, e esperavam-se perdas significativas.
Com base nos dados da Arkham Intelligence, as carteiras do atacante do npm roubaram apenas cerca de 0,22 SOL e outros tokens meme por cerca de $497. No último dia, o espaço das criptomoedas viu perdas ainda maiores da exchange SwissBorg e de outros protocolos. No entanto, o ataque à cadeia de fornecimento continua a ser considerado perigoso, e as pequenas perdas devem-se ao facto de o atacante não ter tido acesso a transações de grande escala.
Ataque à cadeia de fornecimento npm assemelha-se ao hack da Bybit
O ataque à cadeia de fornecimento foi algo semelhante ao hack da Bybit, ao alterar a carteira de destino no último momento. O código front-end comprometido poderia potencialmente desviar ativos de sites que utilizavam alguns dos pacotes JavaScript contaminados.
As pessoas parecem não compreender a exploração do npm. É como quando a Bybit perdeu mil milhões de dólares para hackers ao compor a interface de utilizador multisig da Safe. O código front-end dos sites que utilizavam os pacotes maliciosos está comprometido. Por isso, certifique-se de verificar as transações cuidadosamente.
— Beanie (@beaniemaxi) September 8, 2025
No caso do hack da Bybit, a exploração front-end foi deliberada e limitada, mas a injeção de código na cadeia de fornecimento do npm afetou até 2 mil milhões de descargas semanais. Relatórios iniciais mostram que os efeitos dos pacotes npm contaminados foram limitados.
A maioria dos principais locais Web3 relatou que o seu código estava seguro e que o comércio podia continuar. A maioria dos tokens roubados estava na Ethereum, incluindo BRETT, DORKY, VISTA e GONDOLA, sem que ETH tenha sido retirado.
O ataque afetou as carteiras de alguns comerciantes DEX de pequena escala e Uniswap provedores de liquidez, mas não em escala massiva, mostrando que as próprias aplicações não foram comprometidas. O risco residia no cliente final que assinava a transação sem verificação manual suficiente.
A criptomoeda continua em risco devido ao ataque npm?
As carteiras de criptomoeda estão geralmente em risco devido a ataques à cadeia de fornecimento. No entanto, o potencial de roubo de tokens depende das próprias aplicações e de uma janela de tempo relativamente pequena para realizar a exploração.
Os exemplos de código malicioso de roubo de criptomoedas código foram amplamente publicados, potencialmente protegendo os desenvolvedores de aplicações.
Os ataques ocorreram após novas descargas, o que significa que as vulnerabilidades foram injetadas num número limitado de aplicações de criptomoedas. Horas após o ataque, ficou claro que os utilizadores da MetaMask foram os mais afetados, sem que o ecossistema de carteiras de desktop tivesse sido alvo.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
