Uma nova campanha de roubo de criptomoedas está alvejando desenvolvedores mais propensos a ter chaves de carteira, credenciais de nuvem e acesso à produção em seus computadores.
Pesquisadores da empresa de segurança Socket disseram no início desta semana que identificaram um ataque à cadeia de suprimentos chamado TrapDoor, espalhado por três principais registros de programação de código aberto, com mais de 34 pacotes maliciosos e centenas de versões e artefatos relacionados.
Uma lição chave é que os atacantes estão se tornando mais focados. Além da engenharia social, que visa indivíduos que detêm informações chave, ataques à cadeia de suprimentos são planejados não para pegar usuários varejistas aleatórios, mas desenvolvedores. Esses são exatamente as pessoas que podem ter arquivos de carteira, chaves SSH, tokens do GitHub, credenciais de nuvem e acesso à produção na mesma máquina que usam para construir ferramentas de cripto e IA.
O Socket não identificou vítimas ou fundos roubados, mas disse que os pacotes estavam ativos no npm, PyPI e Crates.io e continham cargas úteis capazes de roubar dados de carteiras, exfiltrar credenciais, testar tokens da AWS e do GitHub e deixar arquivos para manter o acesso ativo.
Os pacotes programados em JavaScript, Python e Rust estavam disfarçados como auxiliares de desenvolvedor, scanners de segurança, ferramentas de carteira, utilitários Solidity, pacotes de prompts de IA e auxiliares de compilação para Sui ou Move.
Os nomes eram intencionalmente chatos. Os pacotes eram nomeados como "wallet-security-checker", "defi-risk-scanner", "solidity-build-guard", "move-compiler-tools" e "llm-context-compressor", parecendo os tipos de utilitários pequenos que um desenvolvedor de cripto ou IA poderia instalar sem muita reflexão.
No entanto, após a instalação, as cargas úteis tentaram recuperar muito mais do que apenas dados do pacote.
Nos pacotes npm, o malware procurou na máquina do desenvolvedor chaves privadas, senhas, tokens do GitHub e logins de nuvem. Ele também testou algumas credenciais roubadas, tentou se mover para outros sistemas por meio de chaves SSH e deixou arquivos que poderiam manter a infecção ativa.
Chaves SSH são arquivos de login usados por desenvolvedores para acessar servidores, repositórios de código e outras máquinas. Se roubadas, podem permitir que um atacante se mova de um laptop comprometido para a infraestrutura mais ampla de uma empresa.
O ataque também utiliza arquivos como .cursorrules e claude.md, que permitem aos desenvolvedores fornecer instruções específicas do projeto para ferramentas de codificação por IA. A Socket afirmou que a campanha implantou instruções ocultas usando caracteres Unicode de largura zero, aparentemente tentando fazer sessões futuras de assistentes de IA executarem “varreduras de segurança” falsas que coletavam e exfiltravam segredos.
Isso transformou o ataque de um simples roubador de pacotes em algo mais próximo de malware voltado para ambientes de desenvolvimento. A instalação do pacote é apenas o primeiro passo, com o verdadeiro alvo sendo a estação de trabalho, como carteiras, repositórios, dados do navegador, chaves em nuvem, acesso SSH e quaisquer ferramentas de codificação por IA que forem acessadas a seguir.
Os pacotes Rust usavam scripts maliciosos build.rs para serem executados durante a compilação, visando desenvolvedores de Sui e Move. Pacotes do PyPI executavam JavaScript remoto na importação. Pacotes no npm usavam hooks postinstall.
Socket disse que relatou os pacotes às registries afetadas e classificou os pacotes da campanha como maliciosos. A empresa também alertou que o atacante abriu pull requests para projetos de IA e desenvolvedores, tentando adicionar arquivos .cursorrules e CLAUDE.md por meio de caminhos normais de contribuição de código aberto.