В марте 2026 года специалисты по кибербезопасности обнаружили критическую атаку на цепочку поставок в популярной JavaScript-библиотеке Axios — инструменте для выполнения HTTP-запросов, используемом в миллионах проектов по всему миру. Злоумышленники опубликовали две вредоносные версии пакета ([email protected] и [email protected]), которые автоматически устанавливали троян [email protected] при добавлении зависимости. Вредоносный код получал полный удалённый доступ к системам разработчиков, позволяя красть приватные ключи, API-токены и данные криптокошельков.
📊 По данным компании Socket, вредоносная версия Axios была доступна в реестре npm в течение 18 часов до удаления. За это время её установили более 27 000 проектов, включая децентрализованные приложения и биржевые интеграции.
Механизм компрометации был изощрённо прост:
package.json была добавлена зависимость от [email protected] — пакета, созданного за 47 минут до взломаnpm install срабатывал post-install скрипт, автоматически запускающий вредоносный код без участия пользователяКак отметил старший инженер по безопасности в Hacken Абдельфаттах Ибрагим: «Это полноценный удалённый доступный троян (RAT). Атакующий мог взаимодействовать с системой в реальном времени, как будто сидел за компьютером жертвы».
«Цепочка поставок — самая уязвимая точка современной разработки. Один скомпрометированный пакет может уничтожить доверие к миллионам приложений», — Брюс Шнайер, эксперт по кибербезопасности.
Axios является критически важной зависимостью для большинства крипто-приложений:
Ибрагим предупредил: «Это плохие новости для dApps и приложений, работающих с криптовалютами. Утечка приватных ключей или seed-фраз через такой вектор может привести к полной компрометации средств пользователей».
Компании OX Security и Socket настоятельно рекомендуют:
npm ls axios и npm ls plain-crypto-jspackage-lock.json) с проверкой контрольных суммВажно: даже если проект не напрямую зависел от уязвимой версии, транзитивные зависимости могли её подтянуть.
Инцидент с Axios — не единичный случай. В последние месяцы зафиксированы аналогичные атаки:
event-stream на проекты в сфере DeFiПо данным Sonatype, количество атак на цепочку поставок выросло на 742% за последние два года, при этом 83% инцидентов остаются незамеченными более 30 дней.
Три психологических барьера мешают обнаружить компрометацию:
Как сказал один из исследователей: «Разработчик думает: „Это же Axios — как он может быть вредоносным?“. А злоумышленник уже получил доступ к его приватному ключу».
Эксперты предлагают многослойную защиту:
Компания npm анонсировала планы по внедрению двухфакторной аутентификации для публикации пакетов к концу 2026 года, но критики отмечают: это не остановит атаки через скомпрометированные аккаунты разработчиков.
Атака на Axios напоминает: в современной разработке безопасность цепочки поставок не может полагаться на человеческую бдительность. Каждая зависимость — потенциальная точка входа для злоумышленника.
Как сказал Ибрагим: «Мы больше не можем доверять пакетам только потому, что они популярны. Нужны автоматизированные системы, которые проверяют каждую строку кода до установки».
Потому что в мире, где один npm install может стоить миллиона долларов, безопасность начинается не с пароля, а с контрольной суммы.
