CoinDesk
Investigadores da empresa de segurança Socket divulgaram esta semana uma campanha de cadeia de abastecimento chamada TrapDoor, identificando mais de 34 pacotes maliciosos espalhados por npm, PyPI e Crates.io, com centenas de versões e artefactos relacionados. Os pacotes foram disfarçados de ferramentas de programação banais — nomes como "wallet-security-checker", "defi-risk-scanner", "solidity-build-guard" e "move-compiler-tools" — e foram especificamente concebidos para atrair programadores de Solana, Sui, Aptos, DeFi, IA e segurança que detêm credenciais reais nas suas máquinas de build.
Depois de instalados, os payloads executaram-se nos três ecossistemas de formas diferentes: os pacotes Rust usaram scripts maliciosos em build.rs para correr durante a compilação, visando programadores de Sui e Move; os pacotes PyPI executaram JavaScript remoto na importação; os pacotes npm usaram hooks de postinstall. O malware pesquisou as máquinas dos programadores à procura de chaves privadas, ficheiros de carteira, tokens do GitHub, credenciais AWS e chaves SSH, testou as credenciais roubadas e largou ficheiros concebidos para manter o acesso ativo para movimento lateral posterior dentro da infraestrutura das empresas.
Porque é importante
Os ataques à cadeia de abastecimento são concebidos para apanhar as pessoas com maior probabilidade de deter as chaves, não utilizadores retalhistas ao acaso. Os pacotes do TrapDoor foram tematizados especificamente para engenheiros de cripto e IA porque esses programadores tendem a ter ficheiros de carteira, chaves SSH, tokens do GitHub, credenciais cloud e acesso a produção na mesma máquina que usam para compilar. Roubo de chaves SSH, em particular, pode permitir a um atacante passar de um único portátil comprometido para a infraestrutura mais vasta de uma empresa.
A campanha abusou também de ficheiros de configuração de IA como .cursorrules e CLAUDE.md, plantando instruções escondidas usando caracteres Unicode de largura zero. O objetivo era fazer com que futuras sessões do assistente de programação com IA executassem falsos "scans de segurança" que recolhiam e exfiltravam segredos — transformando um ladrão de pacotes em malware de ambiente de desenvolvimento em que a instalação do pacote é apenas o primeiro passo.
Impacto no mercado
A Socket afirmou que reportou os pacotes aos registos afetados e classificou a campanha como maliciosa, mas não revelou vítimas identificadas nem fundos roubados.
Perguntas frequentes
-
O que é o ataque à cadeia de abastecimento TrapDoor?
TrapDoor é uma campanha de cadeia de abastecimento divulgada pela empresa de segurança Socket que plantou mais de 34 pacotes maliciosos em npm, PyPI e Crates.io, disfarçados de utilitários de programação tematizados para tooling de cripto, DeFi, IA e segurança.
-
O que roubaram efetivamente os pacotes do TrapDoor?
Os pacotes pesquisaram máquinas de programadores à procura de ficheiros de carteira, chaves privadas, chaves SSH, tokens do GitHub, credenciais AWS e dados de browser, testaram as credenciais roubadas contra serviços ativos e largaram ficheiros de persistência para acesso posterior.
-
Como é que os pacotes visaram especificamente programadores de Solana, Sui e Aptos?
Os nomes dos pacotes foram escolhidos para parecer tooling rotineiro que esses programadores pudessem instalar — "solidity-build-guard", "move-compiler-tools" e afins — enquanto os payloads Rust usavam scripts maliciosos em build.rs que corriam durante a compilação para atingir fluxos de trabalho em Sui e Move.
-
Qual é o ângulo do .cursorrules e CLAUDE.md no ataque TrapDoor?
Os atacantes plantaram instruções escondidas dentro de ficheiros de configuração de IA usando caracteres Unicode de largura zero, visando fazer com que futuras sessões do assistente de programação com IA executassem falsos "scans de segurança" que exfiltrassem segredos do ambiente do programador.
-
Já houve perdas confirmadas da campanha TrapDoor?
A Socket afirmou que reportou os pacotes aos registos afetados e os classificou como maliciosos, mas não nomeou vítimas específicas nem quantificou fundos roubados. O atacante abriu também pull requests contra projetos de IA e de programação para alargar a distribuição através das vias normais de contribuição…
Lookonchain
TheBlock
CoinTelegraph
CryptoSlate
WuBlockchain