Charles Guillemet, directeur de la technologie chez Hardware Wallet Maker Ledger, a averti lundi que lundi qu’une attaque de chaîne d’approvisionnement à grande échelle est en cours après le compromis d’un gestionnaire de package de nœud d’un développeur réputé (NPM) compte.
Selon Guillemet, le code malveillant – déjà poussé dans des packages avec plus d’un milliard de téléchargements – est conçu pour échanger silencieusement les adresses de portefeuille cryptographique dans les transactions. Cela signifie que les utilisateurs sans méfiance pourraient envoyer des fonds directement à l’attaquant sans s’en rendre compte.
Guillemet n’a pas nommé le développeur dont il a dit le compte.
L’incident souligne à quel point les logiciels open source sont profondément interconnectés et pourquoi les pertes de sécurité dans les outils de développeur peuvent se convertir presque instantanément dans l’économie de la cryptographie.
🚨 Il y a une attaque de chaîne d’approvisionnement à grande échelle en cours: le récit du NPM d’un développeur réputé a été compromis. Les packages affectés ont déjà été téléchargés plus d’un milliard de fois, ce qui signifie que l’ensemble de l’écosystème JavaScript peut être à risque.
La charge utile malveillante fonctionne…
– Charles Guillemet (@ p3b7_) 8 septembre 2025
« NPM est un outil couramment utilisé dans le développement de logiciels à l’aide de JavaScript, ce qui facilite l’intégration des packages pour les développeurs », a déclaré Guillemet dans un message à Coindesk. Lorsqu’un attaquant compromet le compte d’un développeur, il peut glisser du code malveillant dans des packages largement utilisés.
« Le code malveillant tente de drainer les utilisateurs en échangeant des adresses utilisées dans la transaction ou l’activité générale sur la chaîne et en les remplaçant par l’adresse du pirate », a ajouté Guillemet.
Guillemet a souligné que si un portefeuille d’applications ou de logiciels décentralisé sur une blockchain comprend ces packages JavaScript, ils pourraient être compromis et les utilisateurs de crypto pourraient donc perdre leurs fonds.
« Le seul moyen sûr de lutter contre cela est d’utiliser un portefeuille matériel avec un écran sécurisé qui prend en charge la signature claire », a déclaré Guillemet à Coindesk. «Cela permettra à l’utilisateur de voir exactement les adresses que les fonds sont envoyés et s’assurent qu’ils correspondent aux adresses prévues.»
« Les portefeuilles matériels sans écrans sécurisés et tout portefeuille qui ne prend pas en charge la signature claire est à haut risque car il est impossible de vérifier avec précision que les détails de la transaction sont corrects », a-t-il ajouté.
« C’est l’occasion de rappeler à tout le monde: vérifiez toujours vos transactions, ne signez jamais de signaler, utilisez un portefeuille matériel avec un écran sécurisé et signez tout », a déclaré Guillemet.
Lire la suite: Leadger CTO aborde la critique du nouveau service de récupération du portefeuille