Points clés
- Un code malveillant injecté dans les packages @ensdomains entre le 21 et le 23 novembre a ciblé les identifiants des développeurs sur GitHub, npm et les services cloud.
- L’attaque s’est propagée via des comptes de mainteneurs compromis, s’exécutant automatiquement lors des commandes d’installation standard.
- Les packages affectés incluent gate-evm-check-code2, create-hardhat3-app, ethereum-ens, et plus de 40 bibliothèques du scope @ensdomains.
Les packages logiciels d’Ethereum Name Service ENS $11.61 volatilité 24h : 4,0% Capitalisation : $439.48 M Vol. 24h : $72.23 M ont été compromis lors d’une cyberattaque sur la chaîne d’approvisionnement, affectant plus de 400 bibliothèques de code sur npm, une plateforme où les développeurs partagent et téléchargent des outils logiciels. ENS Labs a déclaré que les actifs des utilisateurs et les noms de domaine semblent ne pas avoir été affectés.
L’équipe a détecté que les packages commençant par @ensdomains étaient affectés vers 5h49 UTC le 24 novembre et a depuis mis à jour les versions des packages tout en modifiant les identifiants de sécurité, selon ENS Labs. Les sites web opérés par ENS, y compris app.ens.domains, n’ont montré aucun signe d’impact.
Nous avons identifié que certains packages npm commençant par @ensdomains publiés vers 5h49 UTC aujourd’hui pourraient être affectés par une attaque de chaîne d’approvisionnement Sha1-Hulud qui a compromis plus de 400 bibliothèques NPM, y compris plusieurs packages ENS.
L’équipe a mis à jour tous les derniers tags et est…
— ens.eth (@ensdomains) 24 novembre 2025
L’attaque a également compromis des packages de Zapier, PostHog, Postman et AsyncAPI, selon Aikido Security, qui a détecté la campagne pour la première fois le 24 novembre.
Des packages crypto parmi les victimes
Plusieurs bibliothèques de développement blockchain ont été prises dans cette vaste attaque. Les packages affectés incluent gate-evm-check-code2 et evm-checkcode-cli utilisés pour la vérification du bytecode des smart contracts, create-hardhat3-app pour le scaffolding de projets Ethereum ETH $2 964 volatilité 24h : 4,8% Capitalisation : $357.84 B Vol. 24h : $32.76 B, et coinmarketcap-api pour l’intégration des données de prix.
D’autres bibliothèques crypto affectées incluent ethereum-ens et crypto-addr-codec, qui gère l’encodage des adresses de cryptomonnaies. Plus de 40 packages dans le scope @ensdomains ont été compromis.
L’incident rappelle une porte dérobée découverte dans les packages XRP Ledger en avril, où un code malveillant avait été injecté dans xrpl.js pour voler des clés privées.
Comment fonctionne l’attaque
Des packages malveillants ont été téléchargés sur npm entre le 21 et le 23 novembre. Le malware se propage en compromettant les comptes de mainteneurs et en injectant du code dans leurs packages. Il s’exécute automatiquement lorsque les développeurs lancent les commandes d’installation standard.
Le malware collecte les mots de passe des développeurs et les jetons d’accès depuis GitHub, npm et les principaux services cloud. Il publie les données volées sur des dépôts publics GitHub et crée des points d’accès cachés sur les machines infectées pour de futures attaques.
Une recherche GitHub montre que 26 300 dépôts contiennent désormais des identifiants volés, répartis sur environ 350 comptes compromis. Ce nombre continue d’augmenter alors que l’attaque reste active.
Les chercheurs de Koi Security ont découvert une menace supplémentaire. Si le malware ne peut pas voler les identifiants ou envoyer des données, il efface tous les fichiers du répertoire personnel de l’utilisateur.
Réaction des développeurs
ENS Labs a indiqué que les développeurs n’ayant pas installé de packages ENS dans les 11 heures suivant la détection à 5h49 UTC sont probablement non affectés. Ceux qui ont installé pendant cette période doivent supprimer leurs dossiers node_modules, vider le cache npm et changer tous leurs identifiants.
L’incident fait suite à une série de brèches de sécurité crypto qui ont mis à l’épreuve les projets d’infrastructure cette année. GitHub supprime activement les dépôts créés par les attaquants, bien que de nouveaux continuent d’apparaître.
next
