अपडेट मार्च 31, 2026, 1:28 अपराह्न यूटीसी: इस लेख को हैकेन में वरिष्ठ ऑफेंसिव सिक्योरिटी इंजीनियर अब्देलफत्ताह इब्राहिम की टिप्पणियों को जोड़ने के लिए अपडेट किया गया है।

दो दुर्भावनापूर्ण एक्सिओस (Axios) एनपीएम (npm) रिलीज़ ने डेवलपर्स को क्रेडेंशियल बदलने और प्रभावित सिस्टम को समझौताग्रस्त मानने की चेतावनी दी है, एक सप्लाई चेन अटैक ने लोकप्रिय जावास्क्रिप्ट एचटीटीपी क्लाइंट लाइब्रेरी को दूषित कर दिया है।

इस समझौते की सूचना सबसे पहले साइबर सुरक्षा कंपनी सॉकेट ने दी थी, जिसने बताया कि axios@1.14.1 और axios@0.30.4 को plain-crypto-js@4.2.1 को शामिल करने के लिए संशोधित किया गया था, जो एक दुर्भावनापूर्ण डिपेंडेंसी थी जो इंस्टॉलेशन के दौरान स्वचालित रूप से चलती थी इससे पहले कि रिलीज़ को npm से हटा दिया गया।

सुरक्षा कंपनी ओएक्स सिक्योरिटी (OX Security) के अनुसार, बदला हुआ कोड हमलावरों को संक्रमित उपकरणों तक रिमोट एक्सेस दे सकता है, जिससे वे लॉगिन क्रेडेंशियल, एपीआई कुंजी और क्रिप्टो वॉलेट जानकारी जैसे संवेदनशील डेटा चुरा सकते हैं।

यह घटना दर्शाती है कि कैसे एक ही समझौताग्रस्त ओपन-सोर्स कंपोनेंट हजारों एप्लीकेशंस में फैल सकता है जो उस पर निर्भर करते हैं, जिससे न केवल डेवलपर्स बल्कि सिस्टम से जुड़े प्लेटफॉर्म और यूजर्स भी खतरे में पड़ जाते हैं। 

सुरक्षा कंपनियां कुंजी रोटेशन, सिस्टम ऑडिट का आग्रह करती हैं

ओएक्स सिक्योरिटी ने उन डेवलपर्स को चेतावनी दी जिन्होंने axios@1.14.1 या axios@0.30.4 इंस्टॉल किया था, कि वे अपने सिस्टम को पूरी तरह से समझौताग्रस्त मानें और तुरंत क्रेडेंशियल, जिसमें एपीआई कुंजी और सत्र टोकन शामिल हैं, को बदलें।

सॉकेट ने कहा कि समझौताग्रस्त एक्सिओस रिलीज़ को plain-crypto-js@4.2.1 पर एक डिपेंडेंसी शामिल करने के लिए संशोधित किया गया था, यह एक पैकेज था जिसे घटना से ठीक पहले प्रकाशित किया गया था और बाद में दुर्भावनापूर्ण पाया गया।

संबंधित: ट्रस्ट वॉलेट ब्राउज़र एक्सटेंशन क्रोम स्टोर 'बग' के कारण ऑफ़लाइन हो गया, सीईओ ने कहा

कंपनी ने कहा कि डिपेंडेंसी को एक पोस्ट-इंस्टॉल स्क्रिप्ट के माध्यम से इंस्टॉलेशन के दौरान स्वचालित रूप से चलाने के लिए कॉन्फ़िगर किया गया था, जिससे हमलावरों को अतिरिक्त उपयोगकर्ता सहभागिता के बिना लक्ष्य सिस्टम पर कोड निष्पादित करने की अनुमति मिलती थी।

सॉकेट ने डेवलपर्स को सलाह दी कि वे प्रभावित एक्सिओस संस्करणों और संबंधित plain-crypto-js@4.2.1 पैकेज के लिए अपनी परियोजनाओं और डिपेंडेंसी फ़ाइलों की समीक्षा करें, और किसी भी समझौताग्रस्त संस्करण को तुरंत हटा दें या वापस कर दें।

हैकेन में वरिष्ठ ऑफेंसिव सिक्योरिटी इंजीनियर अब्देलफत्ताह इब्राहिम ने कॉइनटेlegraph को बताया कि इस समझौते के क्रिप्टो-संबंधित एप्लीकेशंस के लिए गंभीर निहितार्थ हो सकते हैं जो बैकएंड ऑपरेशंस के लिए एक्सिओस पर निर्भर करते हैं।

उन्होंने कहा, "यह डैप्स (dapps) और क्रिप्टोकरेंसी से संबंधित एप्लीकेशंस के लिए बुरी खबर है क्योंकि एक्सिओस एपीआई (API) कॉल्स में एक बड़ी भूमिका निभाता है," यह देखते हुए कि प्रभावित सिस्टम में एक्सचेंज इंटीग्रेशन, वॉलेट बैलेंस चेक और लेनदेन प्रसारण शामिल हो सकते हैं।

इब्राहिम ने कहा कि हमले में तैनात मैलवेयर एक पूर्ण रिमोट एक्सेस ट्रोजन के रूप में कार्य करता है, जिससे हमलावरों को समझौताग्रस्त सिस्टम के साथ सीधे बातचीत करने की अनुमति मिलती है। उन्होंने आगे कहा कि यह घटना इस बात की व्यापक कमजोरी को उजागर करती है कि सप्लाई चेन जोखिमों को कैसे संभाला जाता है।

पहले की क्रिप्टो घटनाएं सप्लाई चेन जोखिमों को उजागर करती हैं

पहले की क्रिप्टो घटनाओं ने दिखाया है कि कैसे सप्लाई चेन उल्लंघनों से डेवलपर जानकारी की चोरी से लेकर उपयोगकर्ता-सामना करने वाले वॉलेट के नुकसान तक बढ़ सकते हैं।

3 जनवरी को, ऑन-चेन अन्वेषक ZachXBT ने बताया कि एथेरियम वर्चुअल मशीन-संगत नेटवर्क पर "सैकड़ों" वॉलेट एक व्यापक हमले में खाली हो गए थे जिसने प्रत्येक पीड़ित से छोटी मात्रा में धन निकाल लिया था। 

साइबर सुरक्षा शोधकर्ता व्लादिमीर एस. ने कहा कि यह घटना संभावित रूप से ट्रस्ट वॉलेट (Trust Wallet) को प्रभावित करने वाले दिसंबर के उल्लंघन से जुड़ी थी, जिसके परिणामस्वरूप 2,500 से अधिक वॉलेट में लगभग 7 मिलियन डॉलर का नुकसान हुआ था। 

ट्रस्ट वॉलेट ने बाद में कहा कि उल्लंघन उसके डेवलपमेंट वर्कफ़्लो में उपयोग किए गए एनपीएम (npm) पैकेजों से जुड़े सप्लाई चेन समझौते से उत्पन्न हो सकता है।

पत्रिका: कोई नहीं जानता कि क्वांटम सुरक्षित क्रिप्टोग्राफी काम भी करेगी या नहीं