Les signaux passent au rouge pour les développeurs crypto. Des acteurs liés à Pyongyang ont transformé npm “Node Package Manager” en cheval de Troie. Ainsi, des packages malveillants s’installent chez des équipes Web3 et siphonnent des wallets.
Les chercheurs décrivent une opération baptisée Contagious Interview. Elle exploite des leurres de recrutement et des bibliothèques piégées. En effet, plus de 300 paquets ont été téléversés puis téléchargés à grande échelle. Certains ont même circulé avant d’être retirés, parfois trop tard.
Comment l’attaque infiltre la chaîne logicielle
Le mode opératoire reste redoutable. Les malfaiteurs publient des modules qui imitent des librairies connues. Par conséquent, une simple faute de frappe peut suffire. Vous pensez installer un logiciel comme dotenv, express ou hardhat ? Vous récupérez un clone qui exécute un malware à l’installation.
Les variantes typographiques abondent. On observe par exemple ethres.js, eth rs.js, we3.js ou wb3.js. D’autres détournements ciblent truffle, ganache et foundry avec des orthographes proches. De plus, des noms “thématiques” comme hardhat-deploy-notifier brouillent les pistes. L’objectif est simple : dérober des mots de passe, des données de navigateur et des clés de wallets.
Exemple de message Linkedin – Source : Socket.dev
Techniquement, les paquets embarquent des “loaders” chiffrés. Ceux-ci déchiffrent et exécutent la charge utile en mémoire. Ainsi, ils laissent peu de traces sur le disque. Le mode opératoire observé rappelle déjà attribuées groupes liés à la Corée du Nord, comme BeaverTail et InvisibleFerret. Toutefois, la volumétrie exacte des téléchargements varie selon les relevés, ce qui complique le comptage précis. L’important reste ailleurs : l’attaque se propage via des dépendances que les équipes Web3 installent chaque jour.
Les attaquants ne s’arrêtent pas au code. Ils montent aussi des scénarios. Des faux profils Linkedin contactent des candidats techniques avec des offres attractives. Ensuite, la conversation glisse vers un test ou une “épreuve” qui exige d’installer un outil. C’est souvent là que la compromission démarre, étape par étape.
Face à la menace, GitHub rappelle retirer les paquets compromis à mesure qu’ils apparaissent. Cependant, le jeu du chat et de la souris favorise les assaillants. Prenez un paquet, démontez-le, il réapparaît sous un autre nom. En conséquence, chaque “npm install” doit être traité comme une exécution de code à risque.
Bonnes pratiques immédiates pour les équipes Web3
La défense passe d’abord par l’hygiène logicielle. Verrouillez vos versions avec un lockfile et épinglez les hachages. Ainsi, vous réduisez les surprises en CI. De plus, auditez systématiquement les dépendances nouvelles. Un outil d’analyse statique ou de réputation peut filtrer beaucoup d’artefacts douteux.
Passez en revue vos processus d’onboarding. Interdisez l’installation de paquets non validés sur les machines de développement. Par conséquent, centralisez l’ajout de dépendances via des PR revues par des pairs. Mettez aussi en place une liste de sources approuvées.
Côté identité, activez l’authentification à deux facteurs pour vos comptes npm et vos dépôts. Limitez les secrets présents sur les postes locaux. En effet, des jetons d’accès ou des clés privées exposés simplifient l’escalade.
Enfin, formez vous et vos équipes aux approches d’ingénierie sociale. Les faux recruteurs se repèrent. Demandez des validations croisées et refusez tout binaire non audité. De plus, interdisez les “tests techniques” qui exigent l’exécution de scripts non signés. Cette règle simple évite bien des drames.
Source : Socket.dev
Sur le même sujet :
- Bitcoin Hyper explose à 23 millions de dollars : 1M $ supplémentaire en 72h
- Comment acheter Pepenode ($PEPENODE) : Guide complet sur la prévente crypto 2025
- Un x5 possible pour la crypto Celestia qui fait face au marché
Partager
