Исследователи кибербезопасности обнаружили поддельные пакеты npm для Bitcoin, крадущие кошельки и seed-фразы
- Исследователи в области кибербезопасности обнаружили три вредоносных пакета Bitcoin для npm, предназначенные для установки вредоносного ПО под названием NodeCordRAT.
- NodeCordRAT способен красть учётные данные Google Chrome, токены API, сохранённые в файлах .env, а также данные криптокошелька MetaMask, включая закрытые ключи и сид-фразы.
- Вредоносные узлы collectively зарегистрировали более 3400 загрузок до того, как были удалены из реестра npm в ноябре 2025 года.
Исследователи Zscaler ThreatLabz обнаружили три вредоносных пакета Bitcoin npm, предназначенных для внедрения вредоносного ПО под названием NodeCordRAT. Сообщается, что все они получили более 3400 загрузок, прежде чем были удалены из реестра npm.
Пакеты, включая bitcoin-main-lib, bitcoin-lib-js и bip40, набрали 2300, 193 и 970 загрузок соответственно. Копируя имена и детали из реальных компонентов Bitcoin, злоумышленник заставил эти похожие модули выглядеть безобидно на первый взгляд.
«Пакеты bitcoin-main-lib и bitcoin-lib-js выполняют скрипт postinstall.cjs во время установки, который устанавливает bip40, пакет, содержащий вредоносный код», — сказали исследователи Zscaler ThreatLabz Сатьям Сингх и Лакхан Парашар. Zscaler ThreatLabz исследователи Сатьям Сингх и Лакхан Парашар сказали. «Этот финальный вредоносный код, названный ThreatLabz NodeCordRAT, является троянцем удаленного доступа (RAT) с возможностями кражи данных».
NodeCordRAT оснащен для кражи учетных данных Google Chrome
Аналитики Zscaler ThreatLabz выявили эту тройку в ноябре во время сканирования реестра npm на наличие подозрительных пакетов и странных паттернов загрузок. NodeCordRAT представляет собой новое семейство вредоносного ПО, которое использует серверы Discord для связи команд и управления (C2).
NodeCordRAT был создан для кражи информации для входа в Google Chrome, API-кодов, хранящихся в файлах .env, и данных кошелька MetaMask, таких как приватные ключи и семенные фразы. Человек, разместивший все три вредоносных пакета, использовал адрес электронной почты [email protected].
Цепочка атаки начинается, когда разработчики неосознанно устанавливают bitcoin-main-lib или bitcoin-lib-js из npm. Затем она определяет путь к пакету bip40 и запускает его в отсоединенном режиме с помощью PM2.
Вредоносное ПО генерирует уникальный идентификатор для скомпрометированных машин, используя формат platform-uuid, например win32-c5a3f1b4. Оно достигает этого, извлекая системные UUID через команды, такие как wmic csproduct get UUID в Windows или чтение /etc/machine-id в системах Linux.
Вредоносные узловые пакеты, вызвавшие кражу криптовалюты
Trust Wallet заявила, что кража почти 8,5 млн долларов была связана с атакой на цепочку поставок экосистемы npm со стороны «Sha1-Hulud NPM». Пострадало более 2500 кошельков.
Хакеры использовали взломанный npm в качестве троянцев в стиле NodeCordRAT и вредоносного ПО цепочки поставок. Он был интегрирован в клиентский код, который крали деньги у клиентов, когда они получали доступ к своим кошелькам.
Другие примеры 2025 года, попадающие в две категории, напоминающие угрозу в стиле NodeCordRAT, включают взлом Force Bridge, произошедший между маем и июнем 2025 года. Злоумышленники украли либо программное обеспечение, либо приватные ключи, которые валидаторские узлы использовали для авторизации межсетевых выводов. Это превратило узлы в злонамеренных акторов, которые могли одобрять мошеннические транзакции.
Этот инцидент привел к краже активов на сумму около 3,6 млн долларов, включая ETH, USDC, USDT и другие токены. Это также вынудило мост прекратить операции и провести аудиты.
В сентябре произошел взлом моста Shibarium, и злоумышленники смогли взять под контроль большую часть валидаторской мощности на короткое время. Как было раскрыто Cryptopolitan, это позволило им действовать как плохие валидаторские узлы, подписывать незаконные выводы средств и забирать около 2,8 миллиона токенов SHIB, ETH и BONE.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
