В 2025 году экосистема JavaScript столкнулась с тем, чего многие опасались, но не ожидали увидеть в таком масштабе. Как отмечает Cointelegraph, произошёл новый взлом NPM — одна из самых крупных supply chain атак за последние годы. Под удар попали популярные криптобиблиотеки, ENS-модули, web3-зависимости и даже цепочки автоматизации вроде Zapier.
Но почему именно эта supply-chain атака вызвала столько шума? И почему её последствия оказались опаснее, чем обычные заражённые пакеты или случайный backdoor? Потому что на этот раз злоумышленники получили доступ к зависимостям, которые используют тысячи разработчиков — и вместе с ними доступ к ENV-переменным, seed-фразам, API-ключам и приватным данным.
После прочтения этой статьи вы узнаете:
- что именно произошло и как работал механизм атаки;
- какие скомпрометированные библиотеки оказались заражены;
- почему взлом критичен для криптопроектов, dApps и web3-разработчиков;
- как проверить зависимости и защитить продукт в 2025 году;
Что произошло: кратко о новой supply-chain атаке на NPM
Последняя supply chain атака на экосистему NPM показала, насколько опасен взлом даже одного аккаунта. Злоумышленники получили доступ к NPM-токенам нескольких разработчиков — под удар попали модули, связанные с Zapier, ENS-библиотеками и рядом web3-пакетов. После этого они начали публиковать «обновления», которые на самом деле содержали вредоносные зависимости.
Сценарий был классическим: сначала credential stealing (кража NPM-токенов), затем dependency hacking — подмена легитимных пакетов на версии со скрытым кодом. Вредоносная нагрузка выглядела как обычная часть сборки, поэтому большинство разработчиков не заметили изменений сразу.
Что делал вредоносный код:
- собирал ENV-переменные утечки и приватные API-ключи;
- пытался получить seed-фразы и приватные ключи кошельков;
- отправлял данные на удалённый сервер;
- маскировался так, что поверхностный аудит зависимостей ничего не показывал.
Итог — не просто локальный взлом NPM, а серьёзная атака, из-за которой оказались скомпрометированные библиотеки, включая популярные crypto- и ENS-модули. Для криптопроектов, где любая ENV-утечка может стоить миллионов, это угроза высшего уровня.
Почему атака угрожает криптопроектам
Криптопроекты — самая уязвимая зона для любой supply chain атаки. Когда происходит взлом NPM с утечкой данных и в проект попадают вредоносные зависимости, последствия затрагивают не просто код, а реальные деньги пользователей.
Утечка ENV-переменных и приватных ключей
Скомпрометированные библиотеки собирали ENV-данные, API-ключи, seed-фразы и приватные ключи кошельков. Для криптосервисов это прямой риск утраты доступа к средствам.
Подмена зависимостей = скрытый бэкдор
Вредоносная зависимость превращается в «точку входа», через которую атакующие получают доступ к dApps, web3-фронтам, обменникам и backend-узлам.
Риск заражения CI/CD и продакшна
Если вредоносный код попадает в сборку, он может перехватывать транзакции, менять конфигурации, собирать приватные данные и перенаправлять средства уже в рабочем продукте.
Эффект домино
Одна вредоносная библиотека способна заразить:
- SDK,
- биржевые интеграции,
- мосты и смарт-контракты,
- партнёрские сервисы.
В криптоэкосистеме такие атаки всегда масштабируются быстрее обычных.
Какие библиотеки оказались под ударом
В результате взлома npm и новой supply chain атаки пострадали сразу несколько групп пакетов, которые требуют более надёжной защиты. Они активно используются в криптопроектах, поэтому вредоносные зависимости в них создают максимальные риски.
1. ENS-библиотеки.
Под угрозой оказались модули, работающие с ENS-адресами (ens library malware) — их применяют web3-приложения, dApps и DeFi-интерфейсы. В скомпрометированные библиотеки внедряли код, который мог перехватывать ENV-данные и отправлять их на удалённые серверы, что делает их критично опасными для криптосервисов.
2. Web3-модули.
В ряде web3-SDK обнаружили признаки dependency hijacking: подменённые зависимости обращались к сторонним доменам и пытались собирать приватные ключи. Массовой компрометации не зафиксировано, но подтверждены попытки внедрения malicious code в популярные web3-пакеты.
3. Пакеты, связанные с Zapier.
После взлома npm появились отчёты о подозрительных обновлениях в пакетах, связанных с Zapier-интеграциями. Это не «взлом Zapier», а использование его экосистемы для распространения poisoned packages, что особенно опасно для автоматизированных криптопроцессов.
4. Модули для криптовалютных интеграций.
Под удар попали пакеты, которые работают с транзакциями, кошельками и RPC-узлами. Если такие зависимости скомпрометированы, утечка приватных ключей и seed-фраз становится прямым риском, а взлом кошельков — вопросом времени.
Как именно происходил взлом: механика атаки
Чтобы понять масштаб инцидента, важно разобрать саму схему. Новая supply chain атака на NPM была многоэтапной и хорошо спланированной.
- Фишинг и кража NPM-токенов. Злоумышленники получили доступ к токенам публикации через фишинговые ссылки, заражённые устройства и отсутствие в CI/CD безопасности. После этого они фактически получили право выпускать обновления — отсюда и стремительное распространение вредоносных пакетов.
- Публикация обновлений с вредоносным кодом. Имея токены, они выкатывали новые версии библиотек: маленькие минорные апдейты, внутри которых скрывался malicious code. Это классический dependency hijacking: подмена легитимной зависимости на вредоносную.
- Сбор приватных данных и отправка на удалённый сервер. Вредоносные зависимости пытались выгрузить самые критичные данные: приватные ключи, ENV-переменные, seed-фразы, API-токены. Затем информация отправлялась на удалённый сервер, часто маскирующийся под обычный домен.
- Максимальная скрытность выполнения. Код работал незаметно: не ломал билд, не шумел в логах и активировался только при определённых условиях. Именно поэтому многие команды даже не подозревали, что стали жертвами взлома NPM.
Как понять, что ваш проект мог пострадать
Supply chain атаки опасны тем, что долго остаются незаметными. Если ваш проект мог столкнуться со взломом npm или получить вредоносные зависимости, проверьте следующие признаки.
1. Использование скомпрометированных библиотек.
Если в проекте стоят версии пакетов, опубликованные в период атаки, это прямой сигнал провести аудит node.js безопасности и проверить их целостность.
2. Неожиданные изменения зависимостей.
Появились пакеты, которые вы не устанавливали? Версии обновились без вашего участия? Автообновление внезапно подтянуло новые зависимости? Такие аномалии — частый след dependency hijacking.
3. Обращения к неизвестным доменам.
Если в network-логах видны запросы к незнакомым адресам, одноразовым серверам или доменам без истории — высока вероятность работы вредоносных зависимостей, пытающихся отправить данные наружу.
4. Аномалии в CI/CD.
Необъяснимые ошибки сборки, зависания пайплайнов, изменение размера бандла — всё это может указывать на внедрение лишнего или скрытого кода.
5. Подозрительные записи в логах.
Особенно важно обращать внимание на попытки чтения ENV-переменных, доступ к файловой системе или сетевые соединения, инициированные dev-пакетами. Это типичное поведение вредоносного кода.
Почему криптосервисы в зоне повышенного риска и как решить эту проблему
Криптопроекты — от обменников до dApps — особенно уязвимы перед supply chain атаками на разработчиков, которые происходят через скомпрометированные зависимости NPM. Причина проста: такие продукты работают с самыми чувствительными данными — приватными ключами, seed-фразами, API-токенами и ENV-конфигурациями.
Любая утечка означает:
- прямой доступ к кошелькам,
- полный контроль над backend-логикой,
- возможность подмены транзакций,
- взлом фронтов криптообменников, DeFi и dApps.
Поэтому всё больше российских криптокомпаний переходят с открытых, потенциально уязвимых сборок на экосистемы, где обмен, интеграции и операции с ключами происходят безопасно и под контролем. Одним из таких примеров стала экосистема Aifory Pro.
Aifory Pro как безопасная инфраструктура для криптопроектов
Почему supply-chain атаки ставят под угрозу обменники и криптопродукты? Потому что всё, что зависит от JavaScript-библиотек, может быть скомпрометировано через одну вредоносную зависимость.
Aifory Pro решает этот риск не техническим патчингом, а построением защищённой инфраструктуры:
- Изолированная экосистема: ключевые операции не зависят от открытых JS-библиотек.
- Верификация пользователей: снижает риск мошенничества и подмен.
- Офисы в РФ и за рубежом: безопасность операций подтверждается физической инфраструктурой.
- Безопасные сценарии сделок: ключи и конфиденциальные данные не уходят в потенциально заражённые CI/CD.
- Прозрачные условия: понятная модель обмена, без скрытых действий «под капотом».
Для компаний, разработчиков и команд, работающих с криптоинтеграциями, переход на безопасные экосистемы вроде Aifory Pro — это реальный способ сократить риск компрометации через вредоносные зависимости.
Aifory Pro проводит новогодний розыгрыш!
Помимо новостей о взломе NPM, у компании есть запущенный праздничный конкурс, в котором можно выиграть iPhone 17 Pro Max, MacBook Air и денежные призы.
Чтобы принять участие, нужно:
- Пригласить друга с помощью своей реферальной ссылки.
- Дождаться, пока он совершит обмен на сумму от 50 000 ₽.
Чем закончится атака и чего ждать дальше
Эксперты сходятся во мнении: взлом NPM — не исключение, а сигнал о новой волне supply chain атак. Разработчикам и криптокомпаниям важно понимать, куда движется рынок безопасности.
1. NPM усилит контроль за публикациями.
Платформа уже внедряет более строгие проверки токенов, мониторит подозрительные апдейты и улучшает автоматический аудит зависимостей, чтобы быстрее выявлять вредоносные зависимости.
2. Разработчики пересмотрят модели безопасности.
После скомпрометированных библиотек доверие к открытым цепочкам поставки падает. Команды начинают сокращать число зависимостей, замораживать версии и переходить на приватные реестры.
3. Атаки Supply chain в 2025 году станут чаще.
Причина проста: взлом одного аккаунта всё ещё позволяет заражать тысячи проектов. Атака слишком эффективна, чтобы злоумышленники отказались от её повторения.
4. Криптопроекты останутся главной целью.
Крипта — деньги, а значит под ударом будут web3-библиотеки, ENS-модули, плагины кошельков и интеграции обменников.
В 2025–2026 годах можно ожидать 2–3 масштабных атак подобного уровня, роста числа «poisoned packages», усиления DevSecOps и постепенного перехода криптокомпаний на более безопасные экосистемы вроде Aifory Pro, где supply chain риск минимален.
Заключение
Атака на NPM ещё раз доказала: современная цепочка поставок ПО крайне уязвима. Взлом npm, появление скомпрометированных библиотек и внедрение вредоносных зависимостей — не редкость, а новая норма, особенно для криптопроектов.
Главные выводы просты:
- supply-chain атаки будут усиливаться;
- web3-инструменты и криптопроекты остаются целью №1;
- проверяйте версии пакетов, анализируйте CI/CD-логи и избегайте автообновлений без аудита;
- переходите на экосистемы, где работа с ключами и данными безопасна — примером является Aifory Pro.
Перед релизом найдите 10 минут на аудит зависимостей. В мире supply-chain атак именно этот шаг часто отделяет безопасный продукт от потери ключей, данных и репутации.