Попередження про безпеку: ще один відомий розробник зазнав злому облікового запису NPM, у який було впроваджено шкідливе програмне забезпечення для викрадення гаманців

BlockBeats повідомляє, що 9 вересня, згідно з моніторингом Socket, триваюча атака на ланцюг постачання NPM поширилася від відомого розробника Qix до ще одного високопрофільного мейнтейнера — обліковий запис NPM duckdb_admin, відповідальний за пакети, пов’язані з DuckDB, був зламаний, і було опубліковано декілька шкідливих версій. Впроваджений код ідентичний шкідливому програмному забезпеченню для крадіжки гаманців, яке використовувалося під час компрометації облікового запису Qix, що свідчить про те, що обидва інциденти є частиною однієї і тієї ж атаки.

Раніше повідомлялося, що CTO Ledger заявив про масштабну атаку на ланцюг постачання, яка може поставити під загрозу всю екосистему JavaScript. Однак нападникам NPM не вдалося досягти успіху, і майже не було постраждалих.