セキュリティ警告：30個の悪意あるnpmパッケージが取引ボットのリポジトリを装い、開発者のキーとニーモニックフレーズを標的に窃取

BlockBeats ニュース、7月1日、SlowMist（慢霧）がセキュリティ警告を発令し、協調的な悪意のあるnpmサプライチェーン攻撃を検出したと報告。攻撃者は偽の取引ボットリポジトリとDeFi関連のnpmパッケージを利用してJavaScript情報窃取ツールを仕込み、npmユーザー、DeFi開発者、取引ボットユーザーを標的にしている。今回の攻撃には30個の悪意のあるnpmパッケージが関与しており、その中でstake-math@3.5.4がdonoaccestag/forex-mt5-trading-botリポジトリのロック依存関係として出現。このリポジトリは約2300個の高度に均質化されたバッチ生成フォークを示しており、その大部分がpoly-stocksアカウント下に集中しており、異常なシグナルが明確である。

攻撃者が窃取可能な機密データの範囲は極めて広く、暗号通貨ウォレットライブラリ、ブラウザのCookieと保存済みパスワード、閲覧履歴、開発者資格情報、シェル履歴、パスワードマネージャーライブラリ、秘密鍵、シードフレーズ、ソースコードに露出したAPIトークンが含まれる。SlowMistは開発者に対し、影響を受けたnpmパッケージを直ちに削除し、package.jsonとpackage-lock.json、CIログに30個の悪意のあるパッケージのいずれかが含まれていないか監査することを推奨。また、npm installを実行したシステムを侵害された可能性があると見なし、露出したすべてのウォレット、秘密鍵、npmトークン、クラウド資格情報、SSHキー、APIトークンをローテーションし、クリーンなイメージから影響を受けた環境を再構築するよう促している。