Sommario
Una sofisticata campagna di attacchi alla supply chain sta colpendo l’ecosistema di sviluppo Ethereum, con focus su strumenti come Hardhat e la Nomic Foundation. Gli attaccanti sfruttano pacchetti npm malevoli per esfiltrare dati sensibili, come chiavi private, mnemonici e file di configurazione, compromettendo la sicurezza dei progetti Ethereum.
Hardhat e Nomic Foundation: strumenti nel mirino
Hardhat, sviluppato dalla Nomic Foundation, è un ambiente essenziale per lo sviluppo di smart contract e dApp su Ethereum. I suoi plugin personalizzabili sono un punto chiave per l’ottimizzazione dei flussi di lavoro degli sviluppatori. Tuttavia, questa flessibilità è stata sfruttata dai cybercriminali per distribuire pacchetti npm falsi, mascherati da plugin legittimi.
Uno dei pacchetti più scaricati, @nomicsfoundation/sdk-test, ha registrato oltre 1.000 download, dimostrando la capacità degli attaccanti di infiltrarsi nei flussi di lavoro quotidiani.
NPM malevoli: strategia degli attaccanti
Gli attaccanti utilizzano nomi che imitano plugin reali, come @nomisfoundation/hardhat-configure, rendendo difficile distinguere i pacchetti legittimi da quelli malevoli. Il codice dei pacchetti malevoli sfrutta funzioni di Hardhat, come hreInit() e hreConfig(), per raccogliere informazioni sensibili.
Dopo la raccolta, i dati vengono crittografati tramite una chiave AES hardcoded e inviati a server controllati dagli attaccanti utilizzando smart contract Ethereum per nascondere i dettagli delle infrastrutture C2.
Impatto e implicazioni per sviluppatori
Questi attacchi mettono a rischio interi progetti blockchain, con possibilità di:
- Compromettere ambienti di sviluppo e produzione.
- Distribuire contratti malevoli sulla rete Ethereum.
- Perdere fondi e risorse critiche.
Le informazioni sensibili raccolte possono essere utilizzate per attacchi su vasta scala o vendute nel mercato nero, aggravando il danno per gli sviluppatori e gli utenti finali.
Gli sviluppatori devono adottare misure preventive per proteggersi, come verificare accuratamente i pacchetti npm prima dell’installazione e utilizzare strumenti di analisi come Socket per GitHub, che identifica e blocca pacchetti potenzialmente dannosi. La campagna evidenzia l’importanza della sicurezza nella supply chain e la necessità di rimanere vigili nell’uso di strumenti open-source.
