حملهٔ گسترده به پکیج‌های محبوب NPM و تهدید برای کیف‌پول‌های ارز دیجیتال سپتامبر ۲۰۲۵

حملهٔ گسترده به پکیج‌های محبوب NPM و تهدید برای کیف‌پول‌های ارز دیجیتال سپتامبر ۲۰۲۵
شرح حادثه

در سپتامبر ۲۰۲۵، یکی از بزرگ‌ترین حملات زنجیره‌ای به اکوسیستم نرم‌افزاری NPM اتفاق افتاد. مجرمان سایبری با فریب یکی از نگه‌دارندگان (maintainer) پکیج‌های JavaScript و ارسال ایمیلی جعلی با موضوع به‌روزرسانی احراز هویت دو عاملی (2FA)، موفق شدند حساب کاربری او را تصاحب کنند. سپس نسخه‌های آلوده‌ای از پکیج‌های محبوب مانند debug، chalk و بسیاری از پکیج‌های وابسته منتشر کردند .

این حمله شامل حدود ۱۸ تا ۲۰ پکیج محبوب با مجموع بیش از ۲ میلیارد بار دانلود هفتگی بود که در بسیاری از پروژه‌های JavaScript به‌صورت مستقیم یا غیرمستقیم استفاده می‌شوند .

نحوه عملکرد بدافزار

کدهای مخرب در این پکیج‌ها با هدف خرابکاری در تراکنش‌های کریپتو طراحی شده بودند. این بدافزارها قادر بودند عبارت‌ها، نشانی‌ها یا متغیرهای مرتبط با تراکنش را تغییر داده و وجوه را به حساب‌های تحت کنترل مهاجم منتقل کنند .

البته تا کنون گزارش‌ها نشان می‌دهند که مبلغ دزدیده شده نسبتا اندک بوده و کمتر از ۵۰ دلار بوده است، شاید به‌خاطر کشف سریع حمله یا عملکرد ناقص مهاجمان .

به‌عنوان نمونه، پلتفرم Security Alliance این عدد را ارائه کرده که شامل چند سنت در اتریوم و حدود ۲۰ دلار از یک رمزارز میم بوده است .

هشدارها و واکنش‌ها

امنیت کیف‌پول‌ها: کاربران کیف‌پول‌های نرم‌افزاری در معرض خطر بیش‌تری قرار داشتند؛ چرا که تراکنش‌ها می‌توانستند توسط بدافزار تغییر یابند. در مقابل، کاربران کیف‌پول‌های سخت‌افزاری (Hardware Wallet) تا حد زیادی در امان بودند؛ زیرا هر تراکنش نیاز به تأیید فیزیکی روی دستگاه داشت .

پیشنهادات برای توسعه‌دهندگان و کاربران:

Dependency pinning (استفاده از نسخه‌های مشخص): بسیاری از پروژه‌ها در برابر چنین حملاتی پوشش دارند اگر وابستگی‌ها به نسخه‌های ثابت قفل شده باشند؛ چون بسته‌های جدید آلوده دانلود نمی‌شوند .

بررسی دقیق بسته‌های به‌روزشده و فعال‌سازی اسکن‌های امنیتی برای جلوگیری از وارد کردن بسته‌های مخرب.

تأثیرات و درس‌های مهم

این حادثه اهمیت امنیت زنجیرهٔ تأمین (supply chain security) را در اکوسیستم نرم‌افزاری به‌وضوح نشان داد:

حتی یک حساب maintainer می‌تواند کل اکوسیستم را به خطر بیاندازد.

فیشینگ و حملات پیچیده همچنان ابزار اصلی مهاجمان هستند.

نیاز به ابزارهای خودکار برای شناسایی کد مخرب به‌شدت احساس می‌شود؛ همانند پیشنهادات دانشگاهی برای تشخیص و تولید PoC جهت آسیب‌ها .

جمع‌بندی :

حمله در سپتامبر ۲۰۲۵ به‌وضوح نشان داد:

پکیج‌های محبوب NPM (debug, chalk و دیگرها) در معرض خطر بزرگی هستند،

بدافزارهای تزریقی می‌توانند تراکنش‌های کریپتو را تغییر دهند و کیف‌پول‌های نرم‌افزاری را هدف قرار دهند،

اما واکنش سریع و هوشیاری جامعه توسعه‌دهندگان، مانع خسارات مالی سنگین شد (دزدیده شدن کمتر از ۵۰ دلار)،

و نشان داد که تکنیک‌هایی مانند dependency pinning، ابزارهای امنیتی و کیف‌پول‌های سخت‌افزاری می‌توانند خط دفاعی مؤثری باشند.