Fałszywy akcelerator Web3 rozsyłał przez npm złośliwe paczki z backdoorami

Fałszywy akcelerator Web3 o nazwie Apex Accelerator rozsyłał przez npm paczki, które instalowały oprogramowanie kradnące dane i backdoory na Windows i macOS. Badacze Elastic Security Labs, Jia Yu Chan i Daniel Stepanic, śledzą tę kampanię pod nazwą REF8801. Przynętą były darmowe kredyty do Claude i Gemini, narzędzia programistyczne i audyty bezpieczeństwa. Operacja przepakowała też prawdziwego agenta programistycznego tak, by zapytania do modeli szły przez serwery atakujących, a narzędzia audytowe generowały zmyślone wyniki. Paczki i powiązane repozytoria GitHub nie są już dostępne.

Kogo dotyczy

Celem były startupy kryptowalutowe i ich założyciele. Chodzi o paczkę @apexacc/cli, reklamowaną jako „doradca AI dla założycieli Web3”, oraz @apexacc/audit, opisaną jako serwer MCP z 18 narzędziami do skanowania tokenów, portfeli i smart kontraktów. Obie opublikował użytkownik npm „apexaccelerator”, powiązany z kontem GitHub „apexaccs” i podmiotem Apex Foundation. W historii commitów badacze znaleźli komentarze po rosyjsku, ale według nich to za mało, żeby ustalić sprawców.