Dati dei portafogli Solana, Sui e Aptos presi di mira in un attacco mediante il pacchetto TrapDoor

Una nuova campagna di furto di criptovalute sta prendendo di mira gli sviluppatori più propensi a conservare chiavi di portafogli, credenziali cloud e accesso alla produzione sui propri dispositivi.

I ricercatori della società di sicurezza Socket hanno dichiarato all'inizio di questa settimana di aver individuato un attacco alla supply-chain denominato TrapDoor, diffuso su tre principali registri di programmi open-source, con oltre 34 pacchetti malevoli e centinaia di versioni e artefatti correlati.

Un punto chiave da evidenziare è che gli attaccanti stanno diventando più mirati. Oltre al social engineering, che prende di mira individui in possesso di informazioni cruciali, gli attacchi alla catena di approvvigionamento sono progettati non per colpire utenti retail casuali, ma sviluppatori. Sono proprio queste le persone che possono avere file di portafogli, chiavi SSH, token GitHub, credenziali cloud e accesso alla produzione sulla stessa macchina che utilizzano per sviluppare strumenti di criptovaluta e intelligenza artificiale.

Socket non ha identificato vittime o fondi rubati, ma ha affermato che i pacchetti erano attivi su npm, PyPI e Crates.io e contenevano payload in grado di rubare dati di portafoglio, esfiltrare credenziali, testare token AWS e GitHub e lasciare file per mantenere attivo l’accesso.

I pacchetti programmati in JavaScript, Python e Rust erano mascherati da strumenti di supporto per sviluppatori, scanner di sicurezza, strumenti per wallet, utility per Solidity, pacchetti per prompt IA e assistenti per la build su Sui o Move.

Noioso per progettazione

I nomi erano volutamente noiosi. I pacchetti si chiamavano "wallet-security-checker," "defi-risk-scanner," "solidity-build-guard," "move-compiler-tools" e "llm-context-compressor," apparendo come il tipo di piccoli strumenti che uno sviluppatore crypto o AI potrebbe installare senza pensarci troppo.

Una volta installati, tuttavia, i payload hanno cercato di prelevare molto più dei dati del pacchetto.

Nei pacchetti npm, il malware ha cercato nel computer di uno sviluppatore chiavi private, password, token GitHub e accessi cloud. Ha inoltre testato alcune credenziali rubate, ha tentato di propagarsi in altri sistemi tramite chiavi SSH e ha lasciato file che potrebbero mantenere attiva l'infezione.

Le chiavi SSH sono file di accesso che gli sviluppatori utilizzano per accedere a server, repository di codice e altre macchine. Se rubate, possono permettere a un attaccante di spostarsi da un laptop compromesso all'infrastruttura più ampia di un'azienda.

L'attacco utilizza anche file come .cursorrules e claude.md, che consentono agli sviluppatori di fornire istruzioni specifiche per il progetto agli strumenti di codifica AI. Socket ha dichiarato che la campagna ha inserito istruzioni nascoste utilizzando caratteri Unicode a larghezza zero, apparentemente nel tentativo di far eseguire alle future sessioni di assistenti AI falsi “controlli di sicurezza” che raccoglievano ed esfiltravano segreti.

Questo ha trasformato l’attacco da un semplice furto di pacchetti a qualcosa di più simile a un malware per ambienti di sviluppo. L’installazione del pacchetto è solo il primo passo, con l'obiettivo reale che è la workstation, come portafogli, repository, dati del browser, chiavi cloud, accesso SSH e qualunque strumento di codifica AI utilizzi successivamente.

I pacchetti Rust utilizzavano script dannosi build.rs eseguiti durante la compilazione, prendendo di mira gli sviluppatori di sui e move. I pacchetti PyPI eseguivano codice JavaScript remoto all'importazione. I pacchetti su npm utilizzavano hook postinstall.

Socket ha dichiarato di aver segnalato i pacchetti ai registri interessati e di aver classificato i pacchetti della campagna come dannosi. L’azienda ha inoltre avvertito che l’attaccante ha aperto pull request su progetti AI e per sviluppatori, tentando di aggiungere file .cursorrules e CLAUDE.md tramite i normali percorsi di contributo open-source.