TechFlow, 9 septembre : le directeur technique de Ledger, Charles Guillemet, a publié un message sur les réseaux sociaux indiquant que « l'attaque contre NPM n'a pas réussi et a causé très peu de pertes aux victimes. L'attaquant a volé les identifiants des utilisateurs via un e-mail de phishing provenant d'un faux domaine de support npm, puis publié une mise à jour malveillante du package. Le code injecté ciblait les activités de chiffrement web, permettait de compromettre des transactions sur des réseaux blockchain comme Ethereum et Solana, et remplaçait directement les adresses de portefeuille dans les réponses réseau. En raison d'une erreur de manipulation de l'attaquant, le processus CI/CD a échoué, ce qui a permis de détecter l'attaque plus tôt et limité son impact ».
Cependant, cela reste un avertissement clair : si des fonds sont stockés dans un portefeuille logiciel ou sur une bourse, une seule exécution de code malveillant pourrait entraîner la perte totale des fonds. Les vulnérabilités dans la chaîne d'approvisionnement restent un vecteur important de diffusion de logiciels malveillants, et les attaques ciblées augmentent également. Bien que le danger immédiat soit passé, la menace persiste ; il est essentiel de rester vigilant et de garantir la sécurité.
Selon une information précédente, le développeur qix a été victime d'une attaque par phishing, entraînant l'injection de code malveillant dans plusieurs packages npm populaires.
