Duas publicações maliciosas de npm do Axios levaram a alertas para os programadores rodarem as credenciais e tratarem os sistemas afetados como comprometidos após um ataque à cadeia de fornecimento ter envenenado a popular biblioteca de HTTP para JavaScript.
A intrusão foi inicialmente reportada pela empresa de cibersegurança Socket, que afirmou que axios@1.14.1 e axios@0.30.4 foram modificados para incluir plain-crypto-js@4.2.1, uma dependência maliciosa que corria automaticamente durante a instalação antes de as versões terem sido removidas do npm.
De acordo com a empresa de segurança OX Security, o código alterado pode dar aos atacantes acesso remoto a dispositivos infetados, permitindo-lhes roubar dados sensíveis como credenciais de login, chaves de API e informações de carteiras de criptomoedas.
O incidente mostra como um único componente de código aberto comprometido pode potencialmente repercutir por milhares de aplicações que dele dependem, expondo não apenas programadores, mas também plataformas e utilizadores ligados ao sistema.
Empresas de segurança apelam à rotação de chaves, auditorias de sistemas
A OX Security alertou os programadores que instalaram axios@1.14.1 ou axios@0.30.4 para tratarem os seus sistemas como totalmente comprometidos e para rodarem as credenciais imediatamente, incluindo chaves de API e tokens de sessão.
A Socket disse que as versões comprometidas do Axios foram modificadas para incluir uma dependência de plain-crypto-js@4.2.1, um pacote publicado pouco antes do incidente e posteriormente identificado como malicioso.
Relacionado: __ A extensão de Trust Wallet para o navegador foi derrubada pelo Chrome Store ‘bug’, diz o CEO
A empresa afirmou que a dependência foi configurada para correr automaticamente durante a instalação através de um script pós-instalação, permitindo aos atacantes executar código nos sistemas-alvo sem necessidade de qualquer interação adicional por parte do utilizador.
A Socket aconselhou os programadores a reverem os seus projetos e ficheiros de dependências relativamente às versões do Axios afetadas e ao pacote associado plain-crypto-js@4.2.1, e a removerem ou reverterem imediatamente quaisquer versões comprometidas.
Incidentes cripto anteriores destacam os riscos da cadeia de fornecimento
Incidentes cripto anteriores mostraram como as violações da cadeia de fornecimento podem escalar desde a informação roubada dos programadores até perdas de carteiras visíveis para os utilizadores.
Em 3 de janeiro, o investigador onchain ZachXBT reportou que “centenas” de carteiras em redes compatíveis com a Ethereum Virtual Machine foram drenadas num ataque amplo que siphonou pequenas quantias de cada vítima.
O investigador de cibersegurança Vladimir S. disse que o incidente estava potencialmente ligado a uma violação em dezembro que afetou a Trust Wallet, resultando em perdas de cerca de 7 milhões de dólares em mais de 2.500 carteiras.
A Trust Wallet disse mais tarde que a violação pode ter tido origem numa intrusão na cadeia de fornecimento envolvendo pacotes npm usados no seu fluxo de desenvolvimento.
Magazine: __ Ninguém sabe sequer se a criptografia segura para o quantum vai funcionar
A Cointelegraph está empenhada num jornalismo independente e transparente. Este artigo de notícias é produzido em conformidade com a Política Editorial da Cointelegraph e tem como objetivo fornecer informação correta e atempada. Os leitores são incentivados a verificar as informações de forma independente. Leia a nossa Política Editorial
- #Blockchain
- #Segurança
- #Hackers
- #Cibersegurança
- #Hacks
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
Investigador quebra chave de curva elíptica de 15 bits, ganha recompensa de 1 BTC
O investigador independente Giancarlo Lelli derivou uma chave de curva elíptica de 15 bits utilizando um computador quântico acessível ao público, assinalando o que a Project Eleven chamou o “maior ataque quântico” à criptografia de curvas elípticas até à data, de acordo com a startup. A Project Eleven atribuiu a Lelli uma recompensa de 1 BTC,
CryptoFrontier1h atrás
Polymarket Adiciona Início de Sessão com Steam, Hacker da Balancer Converte 7.000 ETH para BTC, Aave Chan Propõe Depósito em Cofre
Mensagem da Gate News, 24 de Abril — A Polymarket introduziu uma nova opção de início de sessão com conta Steam, expandindo os métodos de acesso para os utilizadores. Saturn aumentou as suas participações em STRC, com posições totais avaliadas em $33 milhões. Um hacker da Balancer converteu 7.000 ETH em 204,7 BTC, equivalente a aproximadamente 15,88 milhões de dólares,
GateNews3h atrás
Hacker da Balancer Converte 7.000 ETH em 204,7 BTC via THORChain Hoje
Mensagem de Gate News, 24 de abril — O hacker que roubou aproximadamente $98 milhões em ativos da Balancer em novembro de 2025 começou a converter ETH em BTC através do protocolo cross-chain THORChain. Hoje, o atacante trocou 7.000 ETH por 204,7 BTC, avaliados em aproximadamente 15,88 milhões de dólares, com
GateNews4h atrás
A Slow Mist alerta para a MioLab, plataforma Malware-as-a-Service que visa ativos cripto e carteiras de hardware no macOS
Mensagem do Gate News, 24 de abril — O responsável de Segurança da Informação da Slow Mist, 23pds, revelou no X que a MioLab é uma plataforma altamente comercializada de malware-as-a-service para macOS (MaaS), ativamente promovida em fóruns clandestinos russos, oferecendo controlo C2, integração de API e capacidades de ataque personalizadas a grupos de cibercriminosos
GateNews6h atrás
O sargento-mor de uma unidade de forças especiais dos EUA foi detido: usou informações confidenciais para apostar na Polymarket que Maduro seria detido, obtendo um lucro de 400 000 dólares
O Departamento de Justiça dos EUA no Distrito Sul de Nova Iorque deduziu acusações contra o sargento das Forças Armadas dos EUA do comando de operações especiais Gannon Ken Van Dyke, alegando que terá usado informação classificada para apostar no Polymarket no resultado de Maduro ser detido, obtendo um lucro de cerca de 409,881 dólares (13 transacções, de 2025-12-27 a 2026-1-26). As acusações incluem o uso ilegal de informação classificada, roubo de informações não públicas, fraude em transacções de mercadorias, burla por transferência bancária e transacções monetárias ilegais, entre outras. O caso é apontado como o primeiro caso federal em que o núcleo da acusação é a arbitragem entre informações privilegiadas e mercados de previsão, o que poderá influenciar a futura orientação regulamentar.
ChainNewsAbmedia7h atrás
