Глава Ledger предупредил об атаке на программную инфраструктуру NPM

Технический директор Ledger Шарль Гийеме (Charles Guillemet) призвал пользователей временно прекратить блокчейн-транзакции из-за масштабной атаки на программную инфраструктуру, которая затронула экосистему JavaScript.

Миллиарды загрузок под угрозой

«Происходит масштабная атака на программную инфраструктуру: аккаунт авторитетного разработчика в NPM был скомпрометирован. Зараженные пакеты уже скачали более миллиарда раз, что означает угрозу для всей экосистемы JavaScript», — заявил Гийеме в соцсети X.

Атака на программную инфраструктуру — это когда хакеры взламывают не конечных пользователей, а компрометируют сам процесс разработки и распространения программного обеспечения. В данном случае хакер получил контроль над аккаунтом доверенного разработчика на NPM — популярной платформы, где программисты делятся кодом для JavaScript-проектов. Скомпрометированные пакеты могли затронуть бесчисленное количество сайтов и приложений, включая криптовалютные проекты.

Подмена адресов на лету

Вредоносный код работает по простой схеме: незаметно подменяет криптовалютные адреса, заставляя пользователей отправлять средства хакеру вместо предполагаемого получателя. Подобная тактика уже использовалась северокорейскими хакерами, которые украли $1,5 миллиарда с криптобиржи Bybit в этом году.

«Если вы используете аппаратный кошелек, внимательно проверяйте каждую транзакцию перед подписанием — тогда вы в безопасности. Если аппаратного кошелька нет, пока воздержитесь от транзакций в блокчейне», — предупредил технический директор Ledger.

Масштаб инцидента

Пользователь 0x_ultra сообщил, что программный пакет Chalk и зависимые от него проекты с более чем двумя миллиардами еженедельных загрузок были взломаны и «крадут все ваши приватные ключи». Некоторые эксперты называют это событие «крупнейшей атакой на программную инфраструктуру в истории».

Разработчик пакетов, чьи аккаунты были скомпрометированы, подтвердил инцидент в Bluesky. По данным Bleeping Computer, атакующие использовали фишинговые письма с поддельного домена, имитирующего легитимный npmjs.com. В письмах угрожали заблокировать аккаунты разработчиков 10 сентября 2025 года, чтобы заставить их перейти по вредоносной ссылке.

Меры реагирования

Согласно данным 0x_ultra, программные пакеты были исправлены около 18:15 по московскому времени 8 сентября, хотя фронтенды сайтов могли остаться уязвимыми. NPM отключил скомпрометированные версии пакетов, но приложения, которые обновлялись в последние часы, все еще находятся под угрозой.

Пользователи Ledger и других аппаратных кошельков, обеспечивающих проверку подписываемых транзакций, находятся в безопасности, подчеркнул Гийеме. Разработчикам рекомендуется проверить проверить все внешние компоненты своих проектов.

Инцидент демонстрирует уязвимость современной программной экосистемы, где один скомпрометированный аккаунт может затронуть миллиарды загрузок ПО по всему миру.