Ataque à cadeia de abastecimento do TrapDoor nos três principais armazéns: 34 pacotes maliciosos para roubar carteiras de criptomoedas

A empresa de segurança Socket Security revelou a 25 de maio uma campanha de ataque à cadeia de abastecimento de criptomoedas denominada TrapDoor, que envolve o roubo de criptomoedas. Foram encontrados mais de 34 pacotes maliciosos e 384 versões relacionadas em npm, PyPI e Crates.io. A Socket reportou aos repositórios afetados, tendo alguns pacotes maliciosos sido removidos; ainda assim, subsistem alguns à data da publicação.

Mecanismos de execução maliciosa nos três principais repositórios

（Fonte: Socket Security）

No npm (22 pacotes), a ameaça utiliza hooks pós-instalação (postinstall hooks) para implementar uma carga útil de recolha de credenciais partilhada com 1.149 linhas, trap-core.js, validando credenciais roubadas através de AWS e APIs da GitHub; em seguida, instala persistência através de hooks do Git, hooks do shell, systemd, cron e SSH. As máquinas de desenvolvimento comprometidas podem tornar-se uma ponte para movimentos laterais rumo a outras infraestruturas.

No PyPI (7 pacotes), o código executa-se automaticamente no arranque; transfere JavaScript a partir de um domínio GitHub Pages controlado pelo atacante e utiliza node -e para executar. O atacante não precisa de publicar novas versões para atualizar o comportamento. No Crates.io (6 pacotes, todos direcionados para developers de Sui e Move), recorre a um script malicioso build.rs: durante a compilação em Rust, procura em repositórios locais de chaves, cifra-as com uma chave XOR codificada e envia-as para um GitHub Gist.

Tipos de dados roubados pelo TrapDoor (confirmados pela Socket)

Com base na análise da Socket, o TrapDoor rouba os seguintes dados:

· Chaves SSH (úteis para movimentos laterais)

· Dados de carteiras Sui, Solana e Aptos

· Credenciais AWS e tokens da GitHub

· Perfis do navegador e bases de dados de autenticação

· Dados de extensões para carteiras criptográficas

· Variáveis de ambiente e chaves de API

· Perfis de configuração de desenvolvimento local

Injeção de objetivos de IA: .cursorrules, CLAUDE.md e PRs maliciosas

O TrapDoor utiliza os ficheiros .cursorrules e CLAUDE.md para injetar instruções ocultas através de caracteres Unicode de largura zero, tentando induzir ferramentas de codificação por IA (como Cursor, Claude) a executar “verificações de segurança”, levando ao roubo de chaves dos developers. O atacante utiliza a conta GitHub ddjidd564 e, em simultâneo, submete pedidos de pull para projetos open source populares de IA como browser-use, langchain, langflow, llama_index, MetaGPT e OpenHands, tentando inserir os ficheiros .cursorrules e CLAUDE.md apontando para URLs de configuração controladas pelo atacante. A atividade foi marcada como P-2024-001.

Perguntas frequentes

Que medidas de emergência devem ser tomadas pelos developers afetados pelo TrapDoor?

Identificar e remover imediatamente quaisquer pacotes maliciosos relacionados que tenham sido instalados (a lista completa inclui 22 pacotes no npm, 7 no PyPI e 6 no Crates.io) e revogar imediatamente quaisquer credenciais AWS, tokens da GitHub e chaves SSH que possam ter sido expostos. A Socket já reportou a três repositórios e continua a atualizar a sua página de acompanhamento da campanha de ataque TrapDoor.

Qual é a infraestrutura da campanha de ataque TrapDoor?

O atacante utiliza a conta GitHub ddjidd564 para alojar a carga útil e a configuração; o domínio GitHub Pages é ddjidd564[.]github[.]io/defi-security-best-practices/. A conta também mantém documentação técnica escrita por si (incluindo AUDIT-MATRIX.md, BYPASS.md, PAYLOAD.md e SWARM.md) e vários repositórios de isco centrados em DeFi e segurança.

Como podem os developers confirmar se o seu ambiente foi infetado?

A Socket recomenda verificar se, no ambiente de desenvolvimento local, existem ficheiros .cursorrules ou CLAUDE.md com configurações anómalas que incluam caracteres Unicode de largura zero, bem como processos anómalos em hooks postinstall, serviços systemd ou tarefas cron. A lista completa de nomes dos pacotes maliciosos da Socket foi publicada; os developers podem verificar, um a um, os pacotes instalados.