A comunidade de desenvolvimento foi surpreendida nesta segunda-feira (08/09) por um alerta urgente emitido por Charles Guillemet, CTO da Ledger, sobre um ataque massivo à cadeia de suprimentos envolvendo o NPM (Node Package Manager).
🚨 There’s a large-scale supply chain attack in progress: the NPM account of a reputable developer has been compromised. The affected packages have already been downloaded over 1 billion times, meaning the entire JavaScript ecosystem may be at risk.
— Charles Guillemet (@P3b7_) September 8, 2025
The malicious payload works…
Segundo Guillemet, a conta de um desenvolvedor altamente respeitado foi comprometida após um ataque de phishing, permitindo que criminosos publicassem pacotes maliciosos no repositório. Esses pacotes foram baixados mais de 1 bilhão de vezes, colocando em risco milhares de aplicações que dependem do ecossistema JavaScript.
🔎 Como o ataque aconteceu
Após obter acesso às credenciais do mantenedor, os atacantes injetaram código malicioso em arquivos index.js de pacotes amplamente utilizados.
Esse malware atuava como um interceptador em navegadores, monitorando tráfego de rede e APIs de aplicações conectadas a criptomoedas. Seu objetivo era sequestrar transações ao substituir os endereços de carteiras digitais por endereços controlados pelos criminosos.
Entre as cadeias afetadas estavam Ethereum, Bitcoin, Solana, Tron, Litecoin e Bitcoin Cash.
O funcionamento do código malicioso:
- Detectava a presença de window.ethereum e interceptava chamadas de funções como approve, transfer e transferFrom.
- Redirecionava transações Ethereum para uma única carteira maliciosa:
0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976 - Substituía destinatários de transações Solana por strings inválidas, causando falhas.
- Interceptava chamadas fetch e XMLHttpRequest, escaneando respostas JSON e trocando endereços de carteiras por 280 variações falsas, projetadas para parecer legítimas.
🚨 A resposta rápida do NPM
Por volta das 15h15 UTC, o NPM desabilitou as versões comprometidas, evitando que o ataque tivesse maior alcance.
Ainda assim, desenvolvedores que atualizaram dependências durante a janela de ataque podem estar vulneráveis, sendo recomendado revisar aplicações e verificar se houve uso das versões maliciosas.
⚡ Impacto real do ataque
Apesar da gravidade do incidente, o ataque falhou em causar grandes danos, de acordo com nova atualização de Guillemet.
Isso aconteceu por dois motivos principais:
- Falhas no próprio código dos atacantes, que quebraram pipelines de CI/CD e facilitaram a detecção.
Resposta rápida da comunidade, que agiu rapidamente para desativar os pacotes e investigar a origem do problema.
Mesmo assim, o episódio reforça o alto risco dos ataques à cadeia de suprimentos, que já afetaram plataformas como SolarWinds e PyPI no passado.
Update on the NPM attack: The attack fortunately failed, with almost no victims.🔒
— Charles Guillemet (@P3b7_) September 9, 2025
It began with a phishing email from a fake npm support domain that stole credentials and gave attackers access to publish malicious package updates. The injected code targeted web crypto activity,… https://t.co/Ud1SBSJ52v pic.twitter.com/lOik6k7Dkp
🛡️ O que podemos aprender com isso
Esse ataque ao NPM traz importantes lições para desenvolvedores, empresas e usuários finais:
- Nunca subestime ataques de phishing: a simples exposição de credenciais pode comprometer todo um ecossistema.
- Verifique dependências: use ferramentas como npm audit, Snyk ou Dependabot para identificar pacotes suspeitos.
- Use hardware wallets: usuários de criptomoedas devem adotar carteiras físicas, que garantem assinaturas seguras e reduzem o risco de interceptação.
- Desconfie de atualizações repentinas: revise changelogs e releases antes de atualizar pacotes críticos.
- Apoie iniciativas de segurança open source: a comunidade depende da colaboração ativa para detectar e mitigar incidentes rapidamente.
📌 Conclusão
O incidente envolvendo o NPM mostra como a cadeia de suprimentos digital continua sendo um dos alvos mais poderosos para cibercriminosos. Embora o ataque tenha falhado em gerar grandes vítimas, ele serve como alerta vermelho para toda a comunidade de tecnologia.
Seja você desenvolvedor, empresa ou usuário final, a mensagem é clara: segurança nunca deve ser deixada em segundo plano.
👉 E você, já revisou suas dependências hoje?
