Trwa jeden z największych ataków hakerskich w historii kryptowalut. Sprawdź jak się zabezpieczyć!

1 tydzień temu

Zdjęcie: Największy atak w historii kryptowalut.

Od wczoraj (tj. 08.09.2025) trwa potencjalnie największy atak na łańcuch dostaw w historii kryptowalut. Miliony użytkowników przez cały czas mogą być zagrożone. jeżeli myślisz, iż atak na Ledgera to było coś wielkiego, to potrzymaj hakerom Flipper Zero. W poniedziałek wybuchła bomba, która może wpłynąć na cały ekosystem JavaScript i kryptowalut na skalę dotychczas niespotykaną.

Co się adekwatnie stało?

Charles Guillemet, CTO Ledger, nie przebierał w słowach wydając ostrzeżenie, które powinno zapalić czerwone światło u każdego użytkownika krypto:

Trwa wielka ofensywa na łańcuch dostaw: konto NPM renomowanego developera zostało skompromitowane. Zainfekowane pakiety zostały już pobrane ponad miliard razy, co oznacza, iż cały ekosystem JavaScript może być zagrożony

Brzmi jak scenariusz z Hollywood? Niestety, to brutalna rzeczywistość, która wygląda jak hakerski film.

There’s a large-scale supply chain attack in progress: the NPM account of a reputable developer has been compromised. The affected packages have already been downloaded over 1 billion times, meaning the entire JavaScript ecosystem may be at risk.

The malicious payload works…

— Charles Guillemet (@P3b7_) September 8, 2025

Anatomia ataku: Jak hakerzy-geniusze zaatakowali całe Web3?

NPM (Node Package Manager) to coś w rodzaju sklepu z aplikacjami dla programistów – centralna biblioteka, gdzie dzielą się małymi fragmentami kodu potrzebnymi do budowy projektów JavaScript. To serce współczesnego Internetu, ale także świata kryptowalut.

Atak rozpoczął się od kampanii phishingowej skierowanej do maintainerów (osób zarządzających) pakietów w NPM. Hakerzy wysyłali e-maile udające oficjalne wsparcie NPM, ostrzegające, iż konto użytkownika zostanie zablokowane, jeżeli nie zaktualizuje uwierzytelniania dwuskładnikowego (2FA) do 10 września 2025 r.

E-mail zawierał link do fałszywej strony, która wyglądała jak oficjalna witryna NPM, ale w rzeczywistości kradła dane logowania (login i hasło). Przykładowy tekst e-maila brzmiał:

Jeden z maintainerów, Josh Junon (właściciel konta „qix” w NPM), padł ofiarą tego oszustwa. Hakerzy przejęli jego konto i opublikowali złośliwe wersje 18 popularnych pakietów, które łącznie mają ponad 2,6 mld pobrań tygodniowo. NPM gwałtownie usunęło niektóre z tych wersji (np. dla pakietu „debug”), ale przez kilka godzin (około 15:00 – 17:30, 8 września) były one dostępne.

Swoją drogą to niesamowite, iż największy atak na Web3 został przeprowadzony przez tak podstawową sztuczkę socjotechniczną. Phishing przez cały czas królem ataków w cyberprzestrzeni.

Jakie pakiety zostały zaatakowane?

Oto lista skompromitowanych pakietów wraz z ich tygodniowymi pobraniami (dane z analizy Aikido Security):

backslash: 0,26 mln
chalk-template: 3,9 mln
supports-hyperlinks: 19,2 mln
has-ansi: 12,1 mln
simple-swizzle: 26,26 mln
color-string: 27,48 mln
error-ex: 47,17 mln
color-name: 191,71 mln
is-arrayish: 73,8 mln
slice-ansi: 59,8 mln
color-convert: 193,5 mln
wrap-ansi: 197,99 mln
ansi-regex: 243,64 mln
supports-color: 287,1 mln
strip-ansi: 261,17 mln
chalk: 299,99 mln
debug: 357,6 mln
ansi-styles: 371,41 mln

Te pakiety są szeroko używane w aplikacjach JavaScript, w tym w narzędziach do formatowania tekstu w konsoli, obsługi kolorów czy debugowania.

Diabelski plan w akcji

Zainstalowany malware działa jak cyfrowy złodziej kieszonkowy – po cichu podmienia adresy portfeli kryptowalutowych podczas transakcji. Klikniesz ,,wyślij Bitcoin na swój adres”, a w rzeczywistości środki lądują u hakera.

Nie jest to automatyczne opróżnianie portfela, ponieważ przez cały czas musisz zaakceptować transakcję. Problem w tym, iż gdy złośliwy JavaScript może zmienić to, co dzieje się po kliknięciu przycisku, Twoje „bezpieczne” kliknięcie może wysłać fundusze prosto do kieszeni cyberprzestępców. Jak wygląda atak w liczbach (na ten moment)?

Ponad 1 miliard pobrań zainfekowanych pakietów
2 miliardy+ tygodniowych pobrań pakietów objętych atakiem
Potencjalne zagrożenie dla całego ekosystemu JavaScript

To nie jest zwykły atak hakerski, ale cyfrowy Pearl Harbor świata kryptowalut.

Jak się zabezpieczyć? Przewodnik przetrwania

jeżeli używasz hardware’owego portfela (Ledger, Trezor):

Jesteś stosunkowo bezpieczny, ale nie zwalnia Cię to z myślenia! Sprawdzaj każdą transakcję przed podpisaniem. Hardware wallet wyświetli prawdziwy adres odbiorcy – jeżeli się nie zgadza z tym, co widzisz na ekranie, NIE PODPISUJ.

jeżeli używasz software’owego portfela (MetaMask, Trust Wallet):

Wstrzymaj wszystkie transakcje on-chain do odwołania. Tak, wiem, iż to boli. Ale lepiej stracić kilka dni zysków niż wszystkie oszczędności.

Dodatkowe środki ostrożności:

Sprawdź adresy dwukrotnie – porównaj adres na swojej stronie z tym w portfelu
Używaj tylko zaufanych aplikacji – unikaj nowych platform przez kilka dni
Aktualizuj ostrożnie – jeżeli jesteś developerem, sprawdź wszystkie zależności
Śledź komunikaty – oficjalne kanały projektów będą informować o bezpieczeństwie

Co robią developerzy?

NPM już wyłączył skompromitowane wersje pakietów, ale mleko się już rozlało. Według @0xCygaar, pakiety zostały załatane 08.09 2025 około 17:15 czasu polskiego , ale frontendy wielu stron mogą być przez cały czas podatne na ataki. jeżeli Twoja aplikacja wykonała npm update w ciągu ostatnich kilku godzin, możesz być w niebezpieczeństwie.

Welcome to the jungle

Atak z poniedziałku 8 września pokazuje, jak krucha jest infrastruktura, na której opiera się świat Web3. Jeden skompromitowany deweloper = potencjalna katastrofa dla miliardów transakcji.

Ironia, prawda? Technologia, która miała uniezależnić nas od centralizowanych systemów, przez cały czas zależy od… centralizowanych repozytoriów kodu.

Akcja, reakcja, prognoza

Ten atak to wake-up call dla całej branży. Pokazuje, iż choćby najbardziej decentralizowana technologia ma swoje punkty centralnego zagrożenia. I iż być może, w natłoku innovation theater, zapomnieliśmy o podstawach: bezpieczeństwie.

Twoja akcja na dzisiaj (check-lista przetrwania):

Immediate (następne 30 minut):

Sprawdź, jakiego portfela używasz
Jeśli software – wstrzymaj wszystkie transakcje DeFi
Jeśli hardware – bądź ekstra czujny przy każdej transakcji
Zaobserwuj oficjalne kanały swoich ulubionych projektów

Short-term (najbliższe dni):

Rozważ kupno hardware wallet’a (jeśli jeszcze go nie masz)
Nie FOMO-uj do nowych projektów
Testuj małymi kwotami przed większymi transferami
Zrób backup swojego seed phrase (tak, znowu)

Medium-term (najbliższe tygodnie):

Naucz się korzystać z block explorer do weryfikacji transakcji
Dywersyfikuj swoje portfolio między CEX a DeFi
Zainwestuj w edukację o bezpieczeństwie Web3

Złote zasady na (najbliższą) przyszłość:

„Don’t trust, verify” – ale naprawdę weryfikuj
„Test in prod” – ale z minimalnymi kwotami
„DYOR” – ale nie tylko o tokenomics, także o security
„Buy the dip” – ale nie kosztem bezpieczeństwa
„HODL” – w hardware wallet, nie na giełdzie

Czy to koniec świata (Web3)?

Absolutnie nie. To naturalne bóle wzrostowe świata cyfrowych aktywów, którym zainteresował się mainstream. Każda rewolucyjna technologia przechodziła przez podobne kryzysy. Internet przeżył tysiące ataków, banki przetrwały niezliczone napady, a świat kryptowalut i Web3 przetrwa też ten atak. Co zmieni się na lepsze? Takie bezprecedensowe kryzysy inspirują do:

Większej świadomości (cyber)bezpieczeństwa – użytkownicy zaczną traktować security poważniej
Lepszych narzędzi – rynek zareaguje dostarczając bardziej bezpieczne rozwiązania
Profesjonalizacji branży – koniec z cowboyskim podejściem do kodu
Regulacji z sensem – prawdopodobnie pierwsze, które faktycznie pomogą użytkownikom