Атака на цепочку поставок Axios может скомпрометировать криптокошельки
- Пакеты Axios для npm были опубликованы через скомпрометированную учетную запись участника.
- В пакетах содержался троян, способный доставлять вредоносные payloads и удалять следы своей установки.
- Атака длилась три часа; возможные потери криптовалюты остаются неизвестными в случае компрометации кошельков.
Axios, одна из самых популярных библиотек JavaScript, может быть скомпрометирована и вовлечена в атаку на криптокошельки. Атаки на пакеты npm становятся все более распространенными, напрямую атакуя проекты, разработчиков и конечных пользователей.
Пакет Axios npm был опубликован в официальной библиотеке JavaScript и отозван всего через несколько часов. Эксперты по безопасности в блокчейне перехватили атаку, которая была активной около трех часов.
@npmjs @GHSecurityLab происходит активная атака на цепочку поставок для [email protected], которая включает вредоносный пакет, опубликованный сегодня – [email protected] – кто-то захватил аккаунт одного из сопровождающих Axios
— Maxwell (@mvxvvll) 1 31 марта 2026
Пакеты npm были скомпрометированы через учетные данные @jasonsaayman, поскольку исследователи все еще искали признаки взлома аккаунта. Затронутыми пакетами были определены [email protected] и [email protected].
Как отмечает Cryptopolitan сообщал Ранее атаки на npm часто нацеливались на криптокошельки и представляли особую опасность для децентрализованных проектов с крупными корпоративными запасами.
Что произошло в атаке на пакет Axios npm?
StepSecurity был одним из первых, кто выявил проблему. Две вредоносные версии библиотеки HTTP-клиента Axios были опубликованы через скомпрометированные учетные данные ведущего сопровождающего Axios, обойдя обычный процесс публикации на GitHub.
По данным StepSecurity, это была самая сложная атака на широко используемый пакет из топ-10 npm. Вредоносная версия пакета внедряет новую зависимость [email protected], которая не импортируется в исходный код axios. Зависимость запускает скрипт post-install, активный на всех операционных системах.
После использования npm клиент заражается троянцем удаленного доступа (dropper), который имеет живой сервер и доставляет полезную нагрузку. Этот вредоносное ПО также удаляет себя и заменяет подозрительный .json на чистую версию, чтобы избежать обнаружения.
Какие типы проектов были затронуты?
Пакеты npm были одними из самых популярных, с еженедельными загрузками до 100 млн. Однако на данный момент нет сообщений о несанкционированном перемещении криптовалют. Ранее атака на npm привела лишь к потере криптовалюты на сумму 1000 долларов из obscure-токенов.
Единственный способ ограничить вредоносные пакеты npm — отслеживать версии и не разрешать автоматические обновления, либо проверять новые версии на наличие потенциально вредоносных загрузок.
Новая атака на цепочку поставок на этот раз для npm axios, самой популярной библиотеки HTTP-клиентов с 300 млн еженедельных загрузок.
При сканировании моей системы я обнаружил использование, импортированное из googleworkspace/cli несколько дней назад, когда я экспериментировал с cli для gmail/gcal. Установленная версия (к счастью)… https://t.co/9DOVWH5KK1
— Andrej Karpathy (@karpathy) 1 31 марта 2026
Исследователи также обнаружили два дополнительных вредоносных пакета, доставляющих полезную нагрузку тем же способом – @shadanai/openclaw и @qqbrowser/openclaw-qbot. Атака последовала всего через неделю после вредоносной инъекции кода в LiteLLM.
Нет сообщений о том, что проекты Web3 или OpenClaw были затронуты или что криптовалюта была украдена за время атаки. Однако были выпущены предупреждения о том, что атаки на npm могут стать нормой, либо через украденные учетные данные, либо через несанкционированных издателей. Угроза следует за предыдущими предупреждениями о вредоносном коде, использующем платформу навыков OpenClaw.
Пакеты не ограничиваются проектами Web3 или ботов и могут затронуть любые полезную нагрузку, связанную с криптокошельками. Потеря доверия к установкам npm и pip для Python также может подорвать общее доверие к экосистеме библиотек, с призывами к более безопасному пути загрузки.
Использование ИИ-агентов также может привести к безразборчивой загрузке пакетов, распространяя угрозу. Фактические последствия для криптокошельков могут быть не немедленными, но они все же потенциально подвергают риску данные кошелька.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
