Специалисты по безопасности из Socket обнаружили скоординированную кампанию вредоносных пакетов, нацеленную на инструменты разработчиков криптопроектов. Зловред получил название TrapDoor — он внедряет скрытые инструкции, перехватывающие управление популярными AI-ассистентами для написания кода.
Простыми словами
Представьте, что вы — разработчик смарт-контрактов. Вы используете AI-помощника (вроде GitHub Copilot), чтобы быстрее писать код. TrapDoor подменяет его ответы: вместо безопасного кода AI предлагает уязвимые фрагменты, которые позволяют злоумышленникам украсть криптовалюту из кошельков или смарт-контрактов. Вредонос распространяется через поддельные пакеты в репозиториях npm и PyPI — разработчик скачивает их, думая, что это полезные библиотеки. Подробнее — актуальные модели ASIC.
Технические детали
Socket выявил более 20 вредоносных пакетов, имитирующих популярные библиотеки для работы с блокчейном (например, web3.js, ethers.js). Внутри пакетов содержался код, который модифицирует конфигурацию AI-ассистента — Copilot, Codeium или Tabnine. После этого AI начинает генерировать код с «закладками»: например, функции перевода средств на адрес злоумышленника или утечки приватных ключей. Кампания активна с декабря 2024 года, по оценкам Socket, затронуто не менее 5000 разработчиков. TrapDoor использует технику «supply chain poisoning» — отравление цепочки поставок, когда вредонос внедряется на этапе разработки, а не эксплуатации.
Что дальше
Разработчикам криптопроектов следует немедленно проверить зависимости на наличие подозрительных пакетов. Socket рекомендует использовать инструменты анализа цепочки поставок (например, Snyk или собственный Socket Scanner) и отключить автоматическое выполнение команд из AI-ассистентов до выяснения. Для российских майнеров и криптоинвесторов угроза косвенная: если разработчик кошелька или DeFi-протокола использует скомпрометированный AI-ассистент, конечный пользователь рискует потерять средства. По нашим наблюдениям, подобные атаки на цепочку поставок становятся трендом 2025 года — в январе уже зафиксировано на 40% больше инцидентов, чем в среднем за месяц 2024 года.
Российским разработчикам стоит учитывать, что ФНС ведет реестр операторов майнинга, и утечка кода из-за TrapDoor может привести к компрометации инфраструктуры. Для промышленных майнинг-площадок в Иркутской области, где тариф на электроэнергию составляет около 3,5 ₽/кВт·ч, потеря контроля над кошельками из-за уязвимости в смарт-контрактах может обернуться прямыми убытками в рублях. Рекомендуется усилить контроль за используемыми библиотеками и проводить аудит кода перед развертыванием.
Комментарии
0