$3B Угрозa: как вредоносное ПО в библиотеках кода теперь нацелено на смарт-контракты Ethereum

Экосистема криптовалют сталкивается с нарастающим кризисом, поскольку кибербезопасностная компания ReversingLabs выявила сложный вектор атаки: злоумышленники используют открытые пакеты NPM для внедрения вредоносного ПО прямо в смарт-контракты Ethereum. Это открытие отмечает опасную эволюцию атак на цепочку поставок против инфраструктуры блокчейн.

Растущая уязвимость DeFi: $3B Урон в 2025 году

Масштаб угрозы ошеломляющий. Согласно аналитике блокчейна Global Ledger, хакеры успешно украли $3 миллиардов долларов в 119 отдельных инцидентах в первой половине 2025 года — рост на 150% по сравнению с целым 2024 годом. Урон отражает, насколько взаимосвязанные протоколы DeFi стали легкой мишенью для скоординированных атак, эксплуатирующих общие уязвимости.

Особый случай подчеркивает этот риск: в июле злоумышленники взломали контракт Rebalancer на базе блокчейна Base, выведя 2,5 миллиона долларов, манипулируя параметрами обмена. Этот инцидент показал, что даже устоявшие протоколы сталкиваются с существенной уязвимостью при наличии пробелов в безопасности.

Кампания по распространению NPM-вредоносного ПО: как Zanki и ReversingLabs раскрыли атаку

Исследование специалиста ReversingLabs Карло Занки в начале июля выявило тревожную закономерность. Злоумышленники маскировали вредоносный код внутри казалось бы легитимных пакетов NPM, при этом наиболее опасные варианты были идентифицированы как colortoolsv2 и mimelib2, оба загружены в июле.

Эти пакеты работают по двухфайловой структуре, предназначенной для максимальной скрытности. Основной компонент, скрипт под названием index.js, содержит скрытые вредоносные нагрузки, активирующиеся после установки в проект разработчика. Что делает эту кампанию беспрецедентной — механизм доставки: вредоносное ПО не использует традиционные серверы команд и управления, а вместо этого использует смарт-контракты Ethereum для хранения и получения URL-адресов для загрузки вторичных этапов вредоносного ПО.

Этот подход обходится традиционных сканеров безопасности, эксплуатируя неизменяемость и распределенную природу блокчейна как слой маскировки.

Фейковый бот Solana: как сфальсифицированная легитимность обманула разработчиков

Исследователи обнаружили скомпрометированный репозиторий GitHub под названием solana-trading-bot-v2, содержащий вредоносный пакет colortoolsv2. Репозиторий казался надежным для случайных наблюдателей — он имел тысячи коммитов, нескольких активных участников и значительное число звезд, — однако все признаки легитимности были искусственно созданы.

Любой разработчик, устанавливающий этот пакет, незаметно предоставлял злоумышленникам доступ к кошелькам пользователей, что могло привести к утрате всех связанных средств. Эта атака объединяет три уровня обмана: фальшивый легитимный репозиторий, запутанный вредоносный код и доставка команд через блокчейн.

Почему смарт-контракты стали инфраструктурой атак

Инновация здесь заключается в смене методологии злоумышленников. Вместо поддержки традиционной инфраструктуры C2, уязвимой для ликвидации, злоумышленники теперь используют смарт-контракты Ethereum как постоянные, устойчивые к цензуре сети распространения вредоносного ПО. Децентрализованная природа блокчейна гарантирует, что эти командные центры останутся функционировать независимо от вмешательства правоохранительных органов.

По словам CEO AMLBot Славы Демчука, уязвимости контроля доступа и недостатки в дизайне смарт-контрактов продолжают оставаться основными векторами атаки. Модульная архитектура протоколов DeFi усиливает ущерб, позволяя злоумышленникам цепочечно эксплуатировать несколько платформ одновременно.

Взрывной сценарий цепочки поставок, к которому никто не готов

Общий контекст более тревожен: 2025 год стал годом взрыва кампаний NPM. Помимо colortoolsv2, исследователи зафиксировали пакеты ethers-provider2 и ethers-providerz в марте, а также множество инфостилеров, загрузчиков и дропперов, обнаруженных в течение года.

Каждая новая версия вредоносного ПО показывает, что злоумышленники перешли от атаки отдельных пользователей к компрометации самого процесса разработки. Один вредоносный пакет может проникнуть в тысячи проектов, превращая открытые репозитории в каналы распространения.

Что должны делать разработчики сейчас

Эксперты по безопасности подчеркивают одну важную меру: перед интеграцией любого внешнего библиотеки разработчики должны тщательно проверять происхождение пакета, историю участников и подлинность кода. Эра автоматического доверия к open-source завершилась.

Открытия ReversingLabs показывают, что смарт-контракты Ethereum — изначально предназначенные как доверительная инфраструктура — стали доверительными в совершенно другом смысле: злоумышленники используют их как постоянные каналы распространения вредоносного ПО, уверенные в том, что неизменяемость блокчейна делает невозможным их удаление после развертывания.