ENS Npm-Pakete bei massivem Cyberangriff gekapert – über 400 Bibliotheken getroffen!

Oh, was für ein herrliches Durcheinander haben wir hier! Der Ethereum Name Service (ENS) wurde kürzlich von einem Cyberangriff auf die Lieferkette getroffen, der über 400 Codebibliotheken auf npm betraf. Für diejenigen unter Ihnen, die es nicht wissen: npm ist der Spielplatz, auf dem Entwickler ihre Spielzeuge – oder, nun ja, ihre Softwaretools – teilen. ENS Labs hat uns versichert, dass Benutzerressourcen und Domänennamen weiterhin sicher sind. Puh, oder? 🙄

Der Angriff wurde erstmals am 24. November um 5:49 Uhr UTC entdeckt. Laut ENS Labs handelte es sich bei den kompromittierten Paketen um solche, die mit @ensdomains begannen. Seitdem haben sie die Paketversionen aktualisiert und die Sicherheitsanmeldeinformationen wie ein verantwortungsbewusster Erwachsener geändert, nachdem etwas Wertvolles kaputt gegangen ist. Gut für sie! 🎩

Wir haben festgestellt, dass bestimmte NPM-Pakete, die mit @ensdomains beginnen und heute gegen 5:49 Uhr UTC veröffentlicht wurden, möglicherweise von einem Sha1-Hulud-Lieferkettenangriff betroffen sind, der über 400 NPM-Bibliotheken, darunter mehrere ENS-Pakete, kompromittiert hat.

Das Team hat alle aktuellen Tags aktualisiert und ist…

– ens.eth (@ensdomains) 24. November 2025

Aber warten Sie, es ist nicht nur das ENS, das den Schmerz verspürt. Auch Zapier, PostHog, Postman und AsyncAPI waren Teil des Kollateralschadens. Aikido Security, der als erster dieses Durcheinander entdeckte, meldete das Chaos noch am selben Tag, im November. 24. Sie hatten Glück, oder? 🙄

Krypto-Pakete geraten ins Kreuzfeuer

Mehrere Blockchain-bezogene Bibliotheken wurden in diese kleine digitale Katastrophe hineingezogen. Zu den betroffenen Paketen gehören gate-evm-check-code2 und evm-checkcode-cli-beide, die zur Überprüfung der Ethereum-Smart-Contract-Bytecodes verwendet werden (oh ja, wir reden hier von ausgefallenem Blockchain-Zeug!). Dann gibt es noch die „create-hardhat3-app“, die beim Einrichten von Ethereum-Projekten hilft, und „coinmarketcap-api“ zum Abrufen von Preisdaten. Oh, der Glamour! 💸

Und dabei bleibt es noch nicht. Andere Krypto-Bibliotheken wie ethereum-ens und crypto-addr-codec (verwaltet die Krypto-Adresskodierung) waren ebenfalls betroffen. Über 40 Pakete im @ensdomains-Bereich wurden kompromittiert. Sprechen Sie über einen schlechten Tag im Büro.

Dieser Vorfall erinnert uns alle an einen früheren Backdoor-Angriff vom April, bei dem xrpl.js von XRP Ledger kompromittiert wurde, um private Schlüssel zu stehlen. Ach, Erinnerungen. 😅

Wie funktioniert das Ganze?

Zwischen dem 21. und 23. November wurden bösartige Pakete auf npm hochgeladen, und natürlich hatten sie eine große Zeit damit, Betreuerkonten zu kompromittieren und bösartigen Code einzuschleusen. Die Malware verbreitet sich wie ein Lauffeuer, wenn Entwickler Standardinstallationsbefehle ausführen. Es ist kinderleicht! 🍰

Bei der Malware handelt es sich um einen Überflieger, der Entwicklerkennwörter, Zugriffstokens von GitHub, npm und großen Cloud-Diensten sammelt und dann gestohlene Daten in öffentlichen GitHub-Repos veröffentlicht. Es schafft auch versteckte Zugangspunkte für zukünftige Angriffe. Warum also damit aufhören, einfach nur Dinge zu stehlen, wenn man sich auch ein eigenes Geschäft einrichten kann? 😈

Derzeit zeigt eine GitHub-Suche, dass 26.300 Repositories kontaminiert wurden und gestohlene Zugangsdaten auf 350 kompromittierte Konten verteilt sind. Und wissen Sie was? Die Zahl steigt weiter. Genau das, was wir brauchten! 💀

Aber hier ist der Clou: Die Forscher von Koi Security haben herausgefunden, dass die Malware, wenn sie keine Anmeldeinformationen stehlen kann, abtrünnig wird und alle Dateien im Home-Verzeichnis des Benutzers löscht. Es ist wie ein Wutanfall, den ein Kleinkind im Zuckerschub bekommt. 🎉

Was unternehmen die Entwickler dagegen?

ENS Labs hat also das Richtige getan. Sie raten Entwicklern, die ENS-Pakete nicht innerhalb von 11 Stunden nach der Erkennung um 5:49 Uhr UTC installiert haben, einfach ihrem Geschäft nachzugehen. Aber für diejenigen, die in diesem Fenster installiert haben? Es ist Zeit, den Ordner „node_modules“ zu löschen, den NPM-Cache zu leeren und alle Ihre Anmeldeinformationen wie beim Frühjahrsputz zu ändern. 🧹

Dieser Angriff ist nur ein weiterer Eintrag in der langen Liste von Krypto-Sicherheitsverstößen, die in diesem Jahr Infrastrukturprojekte heimgesucht haben. Aber keine Sorge – GitHub ist an der Sache beteiligt und entfernt von Angreifern erstellte Repositories. Natürlich tauchen immer wieder neue auf, denn warum nicht? 🙄

Weiterlesen

2025-11-25 02:07