Оновлення 31 березня 2026 року, 1:28 за UTC: Ця стаття оновлена, щоб додати коментарі від Абдельфаттаха Ібрагіма, старшого інженера з наступальної безпеки в Hacken.
Два шкідливі npm-релізи Axios спричинили попередження для розробників про необхідність зміни облікових даних та розглядати скомпрометовані системи як заражені після того, як атака на ланцюг поставок скомпрометувала популярну бібліотеку HTTP-клієнта JavaScript.
Про компрометацію вперше повідомила компанія з кібербезпеки Socket, яка заявила, що axios@1.14.1 та axios@0.30.4 були модифіковані для завантаження plain-crypto-js@4.2.1, шкідливої залежності, яка запускалася автоматично під час встановлення до того, як релізи були видалені з npm.
За даними компанії з безпеки OX Security, змінений код може надати зловмисникам віддалений доступ до заражених пристроїв, дозволяючи їм викрадати конфіденційні дані, такі як облікові дані для входу, ключі API та інформацію про криптогаманці.
Інцидент демонструє, як один скомпрометований компонент з відкритим вихідним кодом може потенційно поширитися на тисячі додатків, що залежать від нього, наражаючи на ризик не лише розробників, а й платформи та користувачів, підключених до системи.
OX Security попередила розробників, які встановили axios@1.14.1 або axios@0.30.4, розглядати свої системи як повністю скомпрометовані та негайно змінити облікові дані, включаючи ключі API та сесійні токени.
Socket заявила, що скомпрометовані релізи Axios були модифіковані для включення залежності від plain-crypto-js@4.2.1, пакету, опублікованого незадовго до інциденту та пізніше ідентифікованого як шкідливий.
По темі: Розширення Trust Wallet для браузера було відключено через «баг» у Chrome Store, каже CEO
Компанія заявила, що залежність була налаштована на автоматичний запуск під час встановлення за допомогою скрипта після встановлення, дозволяючи зловмисникам виконувати код на цільових системах без додаткової взаємодії з користувачем.
Socket порадила розробникам перевірити свої проєкти та файли залежностей на наявність уражених версій Axios та пов'язаного з ними пакету plain-crypto-js@4.2.1, та негайно видалити або відкотити будь-які скомпрометовані версії.
Абдельфаттах Ібрагім, старший інженер з наступальної безпеки в Hacken, розповів Cointelegraph, що компрометація може мати серйозні наслідки для криптододатків, які покладаються на Axios для бекенд-операцій.
«Це погані новини для dapps та програм, які працюють з криптовалютою, оскільки Axios відіграє величезну роль у викликах API», — сказав він, зазначивши, що постраждалі системи можуть включати інтеграції бірж, перевірку балансу гаманців та трансляцію транзакцій.
Ібрагім заявив, що шкідливе програмне забезпечення, використане в атаці, функціонує як повноцінний троян віддаленого доступу, дозволяючи зловмисникам безпосередньо взаємодіяти зі скомпрометованими системами. Він додав, що інцидент підкреслює ширшу слабкість у тому, як керуються ризики ланцюга поставок.
Попередні крипто-інциденти показали, як порушення ланцюга поставок можуть перерости від викраденої інформації розробників до втрат гаманців користувачів.
3 січня ончейн-дослідник ZachXBT повідомив, що «сотні» гаманців у мережах, сумісних з Ethereum Virtual Machine, були спустошені в широкій атаці, яка вилучила невеликі суми з кожної жертви.
Дослідник кібербезпеки Володимир С. заявив, що інцидент потенційно пов'язаний з грудневим зломом, що торкнувся Trust Wallet, що призвело до втрат приблизно 7 мільйонів доларів США в більш ніж 2500 гаманцях.
Trust Wallet пізніше заявив, що злом міг походити від компрометації ланцюга поставок за участю пакетів npm, що використовувалися в його робочому процесі розробки.
Журнал: Ніхто не знає, чи працюватиме квантово-безпечна криптографія
ETH
