TrapDoor : 34 packages npm ciblant les devs crypto et IA

Une campagne supply chain industrielle visant les équipes de développement crypto et IA

Socket et Cyfirma Research ont révélé cette semaine les détails d'une campagne de supply chain d'une ampleur inhabituelle, baptisée TrapDoor, qui cible spécifiquement les développeurs travaillant sur des projets de cryptomonnaies, de finance décentralisée (DeFi), d'intelligence artificielle et de sécurité. Contrairement aux attaques supply chain précédentes qui visaient des entreprises précises via leurs dépendances logicielles connues, TrapDoor adopte une approche de filet large : compromettre le maximum de machines de développeurs pour en extraire les secrets à haute valeur.

Cyfirma Research a identifié un premier volet de la campagne utilisant 11 packages npm malveillants conçus pour imiter des SDK légitimes utilisés dans le développement blockchain et Web3. Parmi eux, le package moralis-sdk — qui usurpe l'identité du SDK officiel de la plateforme Moralis — a enregistré à lui seul plus de 2,7 millions de téléchargements, ce qui en fait l'un des packages malveillants npm les plus téléchargés documentés depuis la compromission du package event-stream en 2018. Ce chiffre reflète l'attractivité de la cible : les développeurs blockchain recherchent des SDK préexistants pour accélérer leurs projets et font souvent confiance aux noms de packages familiers sans vérifier leur légitimité.

Le second volet, documenté par Socket sous le nom TrapDoor, est encore plus vaste : 34 packages malveillants en 384 versions ont été publiés sur npm dans une fenêtre de temps resserrée. La stratégie de distribution combine plusieurs tactiques : le typosquatting (des noms de packages proches d'outils populaires avec des fautes de frappe intentionnelles), la substitution de namespace (publication sous des scopes similaires à des organisations légitimes), et dans certains cas une infiltration directe de packages préexistants légitimes via la compromission de comptes mainteneurs.

Les techniques d'infection exploitent les hooks npm natifs, en particulier les scripts postinstall et preinstall, qui s'exécutent automatiquement lors de l'installation d'un package. Dès qu'un développeur exécute npm install et que le package malveillant est installé — même comme dépendance transitive d'une autre librairie — le code malveillant s'exécute immédiatement avec les permissions de l'utilisateur courant, sans aucune interaction supplémentaire requise de la part de la victime.

L'exfiltration est multi-vecteurs et extrêmement complète. D'après la télémétrie de Socket, chaque machine compromise voit exfiltrer simultanément : les wallets de cryptomonnaies locaux (fichiers wallet.dat, keystore Ethereum), les clés SSH privées (~/.ssh/), les tokens d'accès GitHub et GitLab, les credentials des providers cloud (AWS ~/.aws/credentials, Azure ~/.azure/, GCP ~/.config/gcloud/), les variables d'environnement contenant des secrets applicatifs (fichiers .env), les données des navigateurs web (cookies, mots de passe enregistrés), et les tokens d'accès aux registres privés npm. L'objectif n'est pas de vider un seul wallet crypto, mais de maximiser la valeur extraite de chaque machine compromise.

La chaîne C2 documentée par les chercheurs utilise une architecture sophistiquée : certains packages intègrent des mécanismes de C2 basés sur la blockchain — utilisant des smart contracts ou des transactions pour transmettre des instructions — ce qui les rend particulièrement résistants aux tentatives de takedown de l'infrastructure. D'autres variantes utilisent des webhooks Discord ou des buckets de stockage cloud légitimes (AWS S3, Google Cloud Storage) pour exfiltrer les données, rendant le trafic malveillant indiscernable du trafic d'entreprise normale.

L'impact potentiel sur les équipes de développement dépasse largement la perte directe des actifs crypto. Un token GitHub volé sur le poste d'un développeur senior peut donner aux attaquants un accès en écriture aux dépôts de code de toute l'organisation, ouvrant la voie à une attaque supply chain de deuxième niveau : l'injection de code malveillant dans les librairies publiées par l'entreprise elle-même, contaminant à leur tour les clients de ces librairies. De même, des credentials AWS ou Azure compromis permettent d'accéder à l'infrastructure de production, d'extraire des bases de données, ou de préparer une attaque ransomware sur l'environnement cloud.

Socket a signalé les 34 packages identifiés à l'équipe de sécurité de npm (GitHub), qui a engagé leur suppression. Cyfirma Research a également notifié Moralis concernant l'usurpation de leur SDK. Cependant, les chercheurs soulignent que le vecteur d'attaque (hooks postinstall/preinstall) reste pleinement fonctionnel dans npm et que de nouvelles vagues de packages malveillants peuvent émerger à tout moment. La vitesse de publication — 384 versions en quelques jours — illustre le niveau d'automatisation de l'opération et la professionnalisation des acteurs derrière cette campagne.

Le supply chain npm : une menace structurelle pour l'écosystème développeur

La campagne TrapDoor s'inscrit dans une escalade documentée des attaques supply chain ciblant l'écosystème npm. Depuis la compromission du package event-stream en 2018, les attaques sur les packages open-source se sont multipliées et professionnalisées. Ce qui change en 2026, c'est la convergence de deux dynamiques : la valeur exponentielle des secrets détenus par les développeurs Web3 (clés privées de wallets pouvant représenter des millions de dollars) et la sophistication croissante des techniques d'évasion et de persistance utilisées par les attaquants.

Le ciblage des développeurs crypto et IA est stratégiquement rationnel pour les attaquants. Ces profils travaillent fréquemment sur des projets à haute valeur monétaire directe (smart contracts, protocoles DeFi, modèles d'IA propriétaires), maintiennent des accès privilégiés à des infrastructures cloud importantes, et ont souvent des pratiques de sécurité moins rigoureuses que les équipes opérationnelles traditionnelles — par culture startup, par manque de moyens, ou par excès de confiance dans la communauté open-source.

La réponse défensive passe par plusieurs niveaux. Au niveau organisationnel, l'audit régulier des dépendances npm avec des outils comme npm audit ou Socket.dev devient non négociable. La politique de lockfile (package-lock.json ou yarn.lock commités et vérifiés) réduit le risque d'installation silencieuse de nouvelles versions malveillantes. Au niveau des postes de travail de développeurs, l'isolation des environnements de développement (machines virtuelles dédiées, containers Docker sans accès aux credentials de production) limite drastiquement l'impact d'une compromission. La rotation régulière des tokens GitHub, des clés API cloud et des secrets .env doit être intégrée dans les processus DevSecOps.

Dans le contexte réglementaire européen, la directive NIS2 et le règlement DORA imposent aux entités concernées une gestion de la chaîne d'approvisionnement numérique incluant l'évaluation des risques liés aux dépendances open-source. Une compromission supply chain npm peut constituer un incident de sécurité notifiable si elle conduit à une fuite de données ou à une compromission de systèmes d'information critiques. Les organisations soumises à NIS2 ont intérêt à documenter leur politique de gestion des dépendances open-source dans leurs mesures de sécurité.

Ce qu'il faut retenir

• 34 packages npm malveillants en 384 versions (campagne TrapDoor) volent wallets, clés SSH, tokens GitHub, credentials cloud et variables d'environnement des développeurs crypto, DeFi et IA.
• Le vecteur postinstall/preinstall de npm permet une exécution automatique dès npm install, sans interaction de l'utilisateur — même via une dépendance transitive.
• Action immédiate : auditer les dépendances npm, révoquer et renouveler les tokens GitHub et credentials cloud, isoler les environnements de développement des secrets de production.