Компрометація пакетів npm debug та chalk

Вітаю, я Віталій Містряков, спеціаліст із компанії Digicode. Хочу поділитися важливою інформацією в україномовному просторі, адже ця тема, на жаль, поки що мало обговорюється. Сподіваюся, цей матеріал допоможе захистити ваш проєкт чи стартап від потенційних загроз.

Починаючи з 8 вересня 2025 року, 13:16 UTC, я звернув увагу на повідомлення від Aikido Security про серію пакетів, опублікованих на npm, які містили шкідливий код. Як зазначено в оригінальній статті від Чарлі Еріксена на Aikido Security, було скомпрометовано 18 популярних пакетів:

• backslash (0.26 млн завантажень на тиждень)
• chalk-template (3.9 млн завантажень на тиждень)
• supports-hyperlinks (19.2 млн завантажень на тиждень)
• has-ansi (12.1 млн завантажень на тиждень)
• simple-swizzle (26.26 млн завантажень на тиждень)
• color-string (27.48 млн завантажень на тиждень)
• error-ex (47.17 млн завантажень на тиждень)
• color-name (191.71 млн завантажень на тиждень)
• is-arrayish (73.8 млн завантажень на тиждень)
• slice-ansi (59.8 млн завантажень на тиждень)
• color-convert (193.5 млн завантажень на тиждень)
• wrap-ansi (197.99 млн завантажень на тиждень)
• ansi-regex (243.64 млн завантажень на тиждень)
• supports-color (287.1 млн завантажень на тиждень)
• strip-ansi (261.17 млн завантажень на тиждень)
• chalk (299.99 млн завантажень на тиждень)
• debug (357.6 млн завантажень на тиждень)
• ansi-styles (371.41 млн завантажень на тиждень)

Ці пакети були оновлені для включення шкідливого коду, який виконується на клієнтській стороні вебсайтів, перехоплюючи активність crypto та web3 у браузері, маніпулюючи взаємодіями з гаманцями та перенаправляючи платежі на контрольовані зловмисниками адреси без явних ознак для користувача, як описано в оригінальній статті.

Що сталося?

Як зазначено в статті Aikido, ці пакети почали отримувати нові версії, які містили обфусцирований код. Наприклад, у пакеті is-arrayish файл index.js був змінений, щоб включити шкідливий код, який після деобфускації виявився складною програмою для перехоплення криптовалютних транзакцій. Цей код сканує та замінює адреси гаманців для різних криптовалют, таких як Ethereum, Bitcoin, Solana, Tron, Litecoin та Bitcoin Cash, на адреси, контрольовані зловмисником.

Шкідливе ПЗ працює як перехоплювач у браузері, втручаючись у функції, такі як fetch, XMLHttpRequest та API гаманців, щоб змінювати запити та відповіді. Воно замінює легітимні адреси на подібні за виглядом, що ускладнює виявлення маніпуляцій.

Як працює шкідливе ПЗ (крок за кроком)

За інформацією з оригінальної статті, механізм дії шкідливого ПЗ включає наступні етапи:

1. Впровадження в браузер
   Перехоплює функції, такі як fetch, XMLHttpRequest та API гаманців (window.ethereum, Solana тощо), дозволяючи контролювати веб-трафік та активність гаманців.
2. Стеження за чутливими даними
   Сканує відповіді мережі та транзакції на наявність адрес гаманців або переказів у різних форматах криптовалют.
3. Заміна цілей
   Замінює легітимні адреси на контрольовані зловмисником, використовуючи логіку зіставлення рядків для створення «подібних» адрес.
4. Перехоплення транзакцій перед підписом
   Маніпулює параметрами транзакцій Ethereum та Solana (наприклад, отримувачами, схваленнями), перенаправляючи кошти до атакера, навіть якщо інтерфейс виглядає коректно.
5. Непомітність
   Уникає очевидних замін в інтерфейсі, якщо виявлено крипто-гаманець, і працює в фоновому режимі для зміни транзакцій.

Реакція мейнтейнера

Як повідомляється в статті Aikido, після сповіщення мейнтейнера на Bluesky о 15:15 UTC він підтвердив, що знає про компрометацію та почав очищення скомпрометованих пакетів.

Оригінальна стаття:
www.aikido.dev/...​halk-packages-compromised