Загроза $3B : Як шкідливе програмне забезпечення у бібліотеках коду тепер націлюється на смарт-контракти Ethereum

Екосистема криптовалют зазнає зростаючого кризового стану, оскільки компанія з кібербезпеки ReversingLabs викрила складний вектор атаки: зловмисники використовують відкриті пакети NPM для впровадження шкідливого програмного забезпечення безпосередньо у смарт-контракти Ethereum. Це відкриття позначає небезпечну еволюцію у атаках на ланцюги постачання проти інфраструктури блокчейну.

Зростаюча вразливість DeFi: $3B Збитки у 2025 році

Масштаби загрози вражають. За даними аналітики блокчейну Global Ledger, хакери успішно викрали понад $3 мільярдів доларів у 119 окремих інцидентах у першій половині 2025 року — на 150% більше порівняно з усім 2024 роком. Збитки відображають, наскільки тісно пов’язані протоколи DeFi і стають легкою мішенню для скоординованих атак, що експлуатують спільні вразливості.

Важливий випадок підкреслює цей ризик: у липні зловмисники зламали контракт Rebalancer від Arcadia Finance на базі блокчейну Base, витративши 2,5 мільйона доларів шляхом маніпуляцій з параметрами обміну. Цей інцидент показав, що навіть усталені протоколи мають значну уразливість, коли існують прогалини у безпеці.

Кампанія з шкідливим ПЗ NPM: Як Zanki і ReversingLabs виявили атаку

Дослідження співробітника ReversingLabs Карло Занкі, проведене на початку липня, виявило тривожний шаблон. Зловмисники маскували шкідливий код у нібито легітимних пакетах NPM, причому найнебезпечнішими варіантами були colortoolsv2 і mimelib2, обидва завантажені у липні.

Ці пакети працюють через двофайлову структуру, розроблену для максимальної прихованості. Основний компонент — скрипт під назвою index.js — містить приховані шкідливі навантаження, які активуються одразу після встановлення у проект розробника. Що робить цю кампанію безпрецедентною, — механізм доставки: шкідливе ПЗ не використовує традиційні сервери команд і контролю, а натомість використовує смарт-контракти Ethereum для зберігання та отримання URL-адрес для завантаження другого етапу шкідливого ПЗ.

Цей підхід обходить звичайні засоби безпеки, експлуатуючи незмінність і розподілену природу блокчейну як шар обфускації.

Фейковий Solana-бот: Як підроблена легітимність обдурила розробників

Дослідники виявили зламаний репозиторій GitHub під назвою solana-trading-bot-v2, що містив шкідливий пакет colortoolsv2. Репозиторій здавався довіреним — він мав тисячі комітів, кілька активних учасників і значну кількість зірок — але всі ознаки легітимності були штучно створені.

Будь-який розробник, встановлюючи цей пакет, неусвідомлено надавав зловмисникам доступ до гаманців користувачів, потенційно зливши всі пов’язані кошти. Ця атака поєднує три рівні обману: фейковий легітимний репозиторій, зашифрований код шкідливого ПЗ і командний механізм на основі блокчейну.

Чому смарт-контракти стали інфраструктурою атак

Ця інновація позначає зміну у методології зловмисників. Замість підтримки традиційної інфраструктури C2, вразливу до зняття з обліку, зловмисники тепер використовують смарт-контракти Ethereum як постійні, цензуростійкі мережі розповсюдження шкідливого ПЗ. Децентралізована природа блокчейну гарантує, що ці командні центри залишаються функціональними незалежно від втручання правоохоронних органів.

За словами генерального директора AMLBot Слави Демчука, уразливості контролю доступу та недоліки у дизайні смарт-контрактів залишаються основними векторами атак. Компонована архітектура протоколів DeFi посилює шкоду, дозволяючи зловмисникам ланцюжити експлойти на кількох платформах одночасно.

Вимирання ланцюга постачання, до якого ніхто не готовий

Загальний контекст ще тривожніший: у 2025 році спостерігається вибух кампаній з використанням NPM. Окрім colortoolsv2, дослідники задокументували пакети ethers-provider2 і ethers-providerz у березні, а також численні інфостілеери, завантажувачі та дроппери, виявлені протягом року.

Кожен новий варіант шкідливого ПЗ демонструє, що зловмисники змістили фокус з цільових окремих користувачів на компрометацію самого процесу розробки. Один шкідливий пакет може проникнути у тисячі проектів, перетворюючи відкриті репозиторії у канали розповсюдження.

Що мають робити розробники зараз

Фахівці з безпеки наголошують на одному важливому кроці: перед інтеграцією будь-якої зовнішньої бібліотеки розробники мають ретельно оцінити походження пакету, історію внесків і автентичність коду. Ера довіри до відкритого коду за замовчуванням закінчилася.

Відкриття ReversingLabs показують, що смарт-контракти Ethereum — спочатку створені як бездовірна інфраструктура — стали бездовірними зовсім у іншому сенсі: зловмисники експлуатують їх як постійні канали розповсюдження шкідливого ПЗ, впевнені в тому, що незмінність блокчейну робить неможливим їх видалення після розгортання.