主なポイント
- 2023年11月21日から23日の間に@ensdomainsパッケージに悪意のあるコードが注入され、GitHub、npm、クラウドサービス全体で開発者の認証情報が標的となりました。
- 攻撃は侵害されたメンテナーアカウントを通じて拡散し、標準的なインストールコマンドの実行時に自動的に作動しました。
- 影響を受けたパッケージには、gate-evm-check-code2、create-hardhat3-app、ethereum-ens、そして40以上の@ensdomainsスコープのライブラリが含まれます。
Ethereum Name Service ENS $11.61 24時間変動率: 4.0% 時価総額: $439.48 M 24時間取引高: $72.23 M のソフトウェアパッケージが、開発者がソフトウェアツールを共有・ダウンロードするプラットフォームであるnpm上で、400以上のコードライブラリに影響を及ぼすサプライチェーン型サイバー攻撃により侵害されました。ENS Labsは、ユーザーの資産やドメイン名には影響がないと述べています。
ENS Labsによると、@ensdomainsで始まるパッケージが2023年11月24日午前5時49分（UTC）頃に影響を受けていることをチームが検知し、その後パッケージバージョンの更新とセキュリティ認証情報の変更を行いました。app.ens.domainsを含むENS運営のウェブサイトには影響の兆候は見られませんでした。
本日午前5時49分（UTC）頃に公開された@ensdomainsで始まる特定のnpmパッケージが、400以上のNPMライブラリ（いくつかのENSパッケージを含む）を侵害したSha1-Huludサプライチェーン攻撃の影響を受けている可能性があることを特定しました。
チームはすべての最新タグを更新し…
— ens.eth (@ensdomains) 2025年11月24日
Aikido Securityによると、この攻撃はZapier、PostHog、Postman、AsyncAPIのパッケージにも影響を及ぼしており、同社が11月24日に最初にこのキャンペーンを検知しました。
被害を受けた暗号資産関連パッケージ
複数のブロックチェーン開発ライブラリがこの広範な攻撃に巻き込まれました。影響を受けたパッケージには、スマートコントラクトのバイトコード検証に使用されるgate-evm-check-code2やevm-checkcode-cli、Ethereum ETH $2 964 24時間変動率: 4.8% 時価総額: $357.84 B 24時間取引高: $32.76 B プロジェクトのスキャフォールディング用のcreate-hardhat3-app、価格データ統合用のcoinmarketcap-apiが含まれます。
他にも、暗号資産アドレスのエンコーディングを扱うethereum-ensやcrypto-addr-codecなどの暗号資産ライブラリが影響を受けており、@ensdomainsスコープ内の40以上のパッケージが侵害されました。
この事件は、4月にXRP Ledgerパッケージで発見されたバックドアを想起させます。その際にはxrpl.jsに悪意のあるコードが注入され、秘密鍵の窃取が行われました。
攻撃の仕組み
悪意のあるパッケージは11月21日から23日の間にnpmにアップロードされました。マルウェアはメンテナーアカウントを侵害し、パッケージにコードを注入することで拡散します。開発者が標準的なインストールコマンドを実行すると自動的に作動します。
このマルウェアは、GitHub、npm、主要なクラウドサービスから開発者のパスワードやアクセストークンを収集します。盗まれたデータは公開GitHubリポジトリに送信され、感染したマシンに将来の攻撃用の隠しアクセスポイントを作成します。
GitHubの検索によると、現在26,300のリポジトリが盗まれた認証情報を含んでおり、約350の侵害されたアカウントに広がっています。攻撃が継続しているため、この数は増加し続けています。
Koi Securityの研究者は追加の脅威を発見しました。マルウェアが認証情報の窃取やデータ送信に失敗した場合、ユーザーのホームディレクトリ内のすべてのファイルを削除します。
開発者の対応
ENS Labsは、午前5時49分（UTC）の検知から11時間以内にENSパッケージをインストールしていない開発者は影響を受けていない可能性が高いと述べています。その時間帯にインストールした場合は、node_modulesフォルダを削除し、npmキャッシュをクリアし、すべての認証情報を変更する必要があります。
この事件は、今年インフラプロジェクトを試練にかけた一連の暗号資産セキュリティ侵害に続くものです。GitHubは攻撃者が作成したリポジトリの削除を積極的に進めていますが、新たなリポジトリが引き続き出現しています。
next
