Je viens de tomber sur quelque chose de très préoccupant que des chercheurs en sécurité de ReversingLabs ont découvert. Apparemment, un groupe de hackers nord-coréen a réussi à glisser un code malveillant dans un outil de trading crypto populaire en le déguisant dans un paquet npm appelé PromptMink.

Voici comment cela s'est produit : ReversingLabs a découvert que cette porte dérobée a été générée à l'aide du modèle d'IA de Claude et implantée dans openpaw-graveyard, un projet crypto open-source. Les attaquants derrière cela proviennent de Famous Chollima, un groupe soutenu par l'État qui mène cette opération depuis au moins septembre 2025. Leur approche est en fait assez sophistiquée - ils utilisent une stratégie à deux couches où le premier paquet semble propre mais le second porte la charge utile réelle. Lorsque les développeurs suppriment la version malveillante, ils en publient simplement une de remplacement le même jour.

Ce qui rend cela encore pire, c'est l'évolution du malware. Il est maintenant compilé comme une charge utile en Rust qui cause de graves dégâts une fois installée. Nous parlons de vol d'identifiants de portefeuille, de collecte d'informations système, d'extraction de code source, et d'implantation de clés SSH pour un accès persistant à distance sur des machines Linux et Windows.

ReversingLabs suit cela de près, et c'est un rappel brutal de la fragilité de la chaîne d'approvisionnement dans la crypto. Ces attaques ciblent les outils que les développeurs utilisent chaque jour, ce qui signifie qu'elles peuvent potentiellement compromettre des projets entiers. Le fait qu'ils utilisent du code généré par IA pour échapper à la détection rend la chose encore plus compliquée. Si vous utilisez des outils crypto, surtout ceux qui tirent parti de paquets npm, cela vaut la peine d'y prêter attention. Assurez-vous que vos dépendances proviennent réellement de sources fiables et maintenez vos systèmes à jour.