Dados das carteiras Solana, Sui e Aptos são alvo em ataque com pacote TrapDoor

Uma nova campanha de roubo de criptomoedas está direcionando os desenvolvedores que provavelmente possuem chaves de carteira, credenciais de nuvem e acesso à produção armazenados em suas máquinas.

Pesquisadores da empresa de segurança Socket afirmaram no início desta semana que identificaram um ataque à cadeia de suprimentos chamado TrapDoor, disseminado em três importantes registros de programação open-source, com mais de 34 pacotes maliciosos e centenas de versões e artefatos relacionados.

Uma conclusão importante é que os atacantes estão se tornando mais focados. Além da engenharia social, que tem como alvo indivíduos que detêm informações-chave, os ataques à cadeia de suprimentos são projetados não para atingir usuários comuns aleatórios, mas sim desenvolvedores. São essas as pessoas que podem possuir arquivos de carteiras, chaves SSH, tokens do GitHub, credenciais de nuvem e acesso à produção na mesma máquina que utilizam para construir ferramentas de criptomoedas e IA.

A Socket não identificou vítimas ou fundos roubados, mas afirmou que os pacotes estavam ativos no npm, PyPI e Crates.io e continham payloads que poderiam roubar dados de carteiras, exfiltrar credenciais, testar tokens da AWS e GitHub e deixar arquivos para manter o acesso ativo.

Os pacotes programados em JavaScript, Python e Rust foram disfarçados como ferramentas auxiliares para desenvolvedores, scanners de segurança, ferramentas para carteiras, utilitários Solidity, pacotes de prompts de IA e ajudantes de build para Sui ou Move.

Monótono por design

Os nomes foram intencionalmente monótonos. Os pacotes foram nomeados como "wallet-security-checker," "defi-risk-scanner," "solidity-build-guard," "move-compiler-tools" e "llm-context-compressor," aparentando ser o tipo de pequenas ferramentas que um desenvolvedor de criptomoedas ou IA poderia instalar sem muita reflexão.

Uma vez instalados, no entanto, os payloads tentaram extrair muito mais do que os dados do pacote.

Nos pacotes npm, o malware procurava na máquina do desenvolvedor por chaves privadas, senhas, tokens do GitHub e logins em nuvem. Também testava algumas credenciais roubadas, tentava se mover para outros sistemas por meio de chaves SSH e deixava arquivos que poderiam manter a infecção ativa.

As chaves SSH são arquivos de login que os desenvolvedores utilizam para acessar servidores, repositórios de código e outras máquinas. Se forem roubadas, podem permitir que um atacante se mova de um laptop comprometido para a infraestrutura mais ampla de uma empresa.

O ataque também utiliza arquivos como .cursorrules e claude.md, que permitem aos desenvolvedores fornecer instruções específicas para projetos às ferramentas de codificação de IA. A Socket afirmou que a campanha inseriu instruções ocultas usando caracteres Unicode de largura zero, aparentemente tentando fazer com que futuras sessões de assistentes de IA realizassem “varreduras de segurança” falsas que coletavam e exfiltravam segredos.

Isso transformou o ataque de um simples ladrão de pacotes para algo mais próximo de um malware voltado para ambientes de desenvolvimento. A instalação do pacote é apenas o primeiro passo, sendo o verdadeiro alvo a estação de trabalho, incluindo carteiras, repositórios, dados do navegador, chaves de nuvem, acesso SSH e quaisquer ferramentas de codificação de IA que forem acessadas em seguida.

Os pacotes Rust utilizavam scripts build.rs maliciosos para serem executados durante a compilação, visando desenvolvedores de sui e move. Pacotes PyPI executavam JavaScript remoto na importação. Pacotes no npm utilizavam hooks postinstall.

A Socket informou que comunicou os pacotes aos registros afetados e classificou os pacotes da campanha como maliciosos. A empresa também alertou que o atacante abriu pull requests para projetos de IA e desenvolvedores, tentando adicionar arquivos .cursorrules e CLAUDE.md por meio dos caminhos normais de contribuição em código aberto.