Les points cl\u00e9s en bref<\/p>\n
- \n
- Un paquet, de nombreuses victimes.<\/strong> Le @injectivelabs\/sdk-ts compromis collectait les cl\u00e9s priv\u00e9es et les mn\u00e9motechniques et se propageait via 17 paquets d\u00e9pendants.<\/li>\n
- D\u00e9guis\u00e9 en t\u00e9l\u00e9m\u00e9trie.<\/strong> La fonction malveillante codait les donn\u00e9es en base64 et les envoyait silencieusement \u00e0 un point de terminaison dissimul\u00e9.<\/li>\n
- Bien au-del\u00e0 de la crypto.<\/strong> Tout processus de construction qui tire des d\u00e9pendances sans les v\u00e9rifier comporte le m\u00eame risque. Le verrouillage, la v\u00e9rification de signature et la rotation rapide sont la r\u00e9ponse.<\/li>\n<\/ul>\n<\/div>\n
Voir aussi :<\/strong> Un pilote sign\u00e9 rend la protection des points de terminaison aveugle \u00b7 Lorsque les attaquants sont plus rapides que le correctif<\/a><\/p>\n
Ce qui se cachait dans le SDK Injective<\/h2>\n
Qu’est-ce qu’une attaque de la cha\u00eene d’approvisionnement ?<\/strong> Une attaque de la cha\u00eene d’approvisionnement ne vise pas directement une entreprise, mais une composante que de nombreuses entreprises int\u00e8grent. Lorsqu’une d\u00e9pendance publique est compromise, le code malveillant se propage via le canal d’installation normal \u00e0 tous ceux qui t\u00e9l\u00e9chargent le paquet.<\/p>\n
Dans le cas pr\u00e9sent, il s’agissait de la biblioth\u00e8que TypeScript @injectivelabs\/sdk-ts, un outil pour les applications autour de la blockchain Injective. Une version compromise introduisait une fonction qui se pr\u00e9sentait comme une t\u00e9l\u00e9m\u00e9trie. En r\u00e9alit\u00e9, elle collectait des donn\u00e9es d’acc\u00e8s. L’appel pour d\u00e9river un portefeuille \u00e0 partir d’une mn\u00e9motechnique enregistrait la phrase compl\u00e8te, l’appel \u00e0 partir d’une cl\u00e9 priv\u00e9e enregistrait son contenu.<\/p>\n
Les donn\u00e9es collect\u00e9es \u00e9taient cod\u00e9es en base64 et envoy\u00e9es silencieusement via une requ\u00eate r\u00e9seau \u00e0 un point de terminaison dissimul\u00e9. Pour le d\u00e9veloppeur, le processus restait invisible. Le paquet compte environ 50 000 t\u00e9l\u00e9chargements par semaine. La version compromise a \u00e9t\u00e9 propag\u00e9e via 17 autres paquets Injective. Quiconque en a inclus un \u00e9tait affect\u00e9, sans avoir jamais install\u00e9 directement la biblioth\u00e8que.<\/p>\n
Comment la faille est entr\u00e9e dans le code<\/h2>\n
Le chemin d’acc\u00e8s se faisait via le projet officiel lui-m\u00eame. La fonction malveillante est arriv\u00e9e via des commits dans le r\u00e9f\u00e9rentiel GitHub, effectu\u00e9s via un compte avec une longue historique de contributions. Un tel compte ne suscite pas de suspicion. C’est pr\u00e9cis\u00e9ment cela qui rend la prise de contr\u00f4le d’un contributeur \u00e9tabli si efficace.<\/p>\n
Le processus \u00e9tait manifeste. Des semaines avant la publication, un branche de test est apparu dans le r\u00e9f\u00e9rentiel avec un nom \u00e9vocateur d’un test de porte d\u00e9rob\u00e9e. De telles traces sont \u00e9videntes a posteriori, mais facilement n\u00e9glig\u00e9es dans la vie quotidienne d’un projet open source actif.<\/p>\n
Pourquoi cela concerne chaque processus de construction<\/h2>\n
L’incident porte une \u00e9tiquette crypto, mais le mod\u00e8le est universel. Chaque application moderne tire des dizaines \u00e0 des centaines de paquets \u00e9trangers, souvent sur plusieurs niveaux. Une seule liaison compromise suffit. Ensuite, le code malveillant s’ex\u00e9cute avec les droits du processus de construction.<\/p>\n
Les d\u00e9pendances transitives sont particuli\u00e8rement probl\u00e9matiques. Une \u00e9quipe int\u00e8gre consciemment un paquet et h\u00e9rite de toute sa cha\u00eene, qu’elle n’a jamais v\u00e9rifi\u00e9e. Quiconque conserve des donn\u00e9es d’acc\u00e8s, des jetons ou des cl\u00e9s dans un environnement de d\u00e9veloppement avec des d\u00e9pendances non v\u00e9rifi\u00e9es donne \u00e0 une telle attaque exactement ce qu’elle cherche.<\/p>\n
Que doivent faire les d\u00e9veloppeurs et les \u00e9quipes de s\u00e9curit\u00e9 en maintenant<\/h2>\n
La premi\u00e8re question est la suivante : une version affect\u00e9e est-elle en cours d’ex\u00e9cution dans votre propre infrastructure ? Sans inventaire de d\u00e9pendances fiable, la r\u00e9ponse reste une devinette. Ce n’est qu’apr\u00e8s cela que les leviers techniques peuvent \u00eatre actionn\u00e9s.<\/p>\n
\nV\u00e9rifier imm\u00e9diatement<\/p>\n
- \n
- ✓<\/span>D\u00e9tecter la version SDK affect\u00e9e dans tous les projets, les inclusions directes et transitives, puis passer \u00e0 la version corrig\u00e9e.<\/li>\n
- ✓<\/span>Traiter toutes les cl\u00e9s et les mn\u00e9motechniques qui ont travers\u00e9 une version affect\u00e9e comme compromises, les faire tourner et d\u00e9placer les cr\u00e9dits.<\/li>\n
- ✓<\/span>\u00c9pingler fermement les d\u00e9pendances via les fichiers de verrouillage et adopter les mises \u00e0 jour de mani\u00e8re consciente plut\u00f4t qu’automatique.<\/li>\n
- ✓<\/span>V\u00e9rifier les preuves d’origine (provenance npm) et les signatures de packages, ainsi que maintenir un inventaire logiciel (SBOM).<\/li>\n
- ✓<\/span>Ne pas stocker de secrets de longue dur\u00e9e dans les environnements de construction avec des d\u00e9pendances non v\u00e9rifi\u00e9es, et restreindre les droits dans le syst\u00e8me CI\/CD.<\/li>\n<\/ul>\n<\/div>\n
Les outils d’analyse de d\u00e9pendances r\u00e9duisent le temps de r\u00e9action, car ils signalent un package compromis avant qu’il ne soit largement d\u00e9ploy\u00e9. Mais le v\u00e9ritable levier reste organisationnel : qui ne conna\u00eet pas sa cha\u00eene d’approvisionnement ne peut pas la prot\u00e9ger.<\/p>\n
Un cas de test pour la cha\u00eene d’approvisionnement<\/h2>\n
Injective a d\u00e9clar\u00e9 avoir r\u00e9solu l’incident en moins d’une heure et n’avoir pas nui \u00e0 aucun utilisateur. Cette \u00e9valuation provient du fournisseur lui-m\u00eame. Ind\u00e9pendamment de cela, la le\u00e7on reste valable : la r\u00e9action rapide d’un projet n’exon\u00e8re pas les utilisateurs de s\u00e9curiser leur propre cha\u00eene.<\/p>\n
Pour les entreprises ayant des obligations au titre de NIS2 ou de DORA, le risque li\u00e9 \u00e0 la cha\u00eene d’approvisionnement n’est plus un sujet abstrait. Les deux cadres exigent que les organisations g\u00e8rent les risques li\u00e9s \u00e0 leurs fournisseurs et composants. Un package compromis dans votre propre processus de construction est exactement le cas pour lequel ces exigences ont \u00e9t\u00e9 \u00e9crites.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est ferm\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQu’est-ce qu’une attaque de la cha\u00eene d’approvisionnement ?<\/strong><\/summary>\n
Une attaque de la cha\u00eene d’approvisionnement manipule un composant partag\u00e9 par de nombreuses cibles, comme une d\u00e9pendance logicielle publique. Le code malveillant se propage alors via le chemin d’installation normal \u00e0 tous ceux qui int\u00e8grent le paquet.<\/p>\n<\/details>\n
\nSuis-je affect\u00e9 si je n’ai jamais install\u00e9 directement le SDK ?<\/strong><\/summary>\n
Possible. La version manipul\u00e9e a \u00e9t\u00e9 distribu\u00e9e via 17 autres paquets. Quiconque en a int\u00e9gr\u00e9 un a h\u00e9rit\u00e9 de la d\u00e9pendance de mani\u00e8re transitive, sans jamais avoir directement t\u00e9l\u00e9charg\u00e9 la biblioth\u00e8que elle-m\u00eame.<\/p>\n<\/details>\n
\nLa mise \u00e0 jour vers la version corrig\u00e9e suffit-elle ?<\/strong><\/summary>\n
Comme premi\u00e8re \u00e9tape, oui, mais pas comme seule mesure. Les cl\u00e9s et les mn\u00e9motechniques qui ont \u00e9t\u00e9 utilis\u00e9es avec une version affect\u00e9e sont consid\u00e9r\u00e9es comme compromises. Elles doivent \u00eatre rot\u00e9es et les soldes doivent \u00eatre d\u00e9plac\u00e9es.<\/p>\n<\/details>\n
\nComment le code malveillant a-t-il pu p\u00e9n\u00e9trer dans un projet officiel ?<\/strong><\/summary>\n
Via des commits effectu\u00e9s \u00e0 partir d’un compte avec une longue historique de contributions dans le r\u00e9f\u00e9rentiel officiel. Un contributeur \u00e9tabli ne suscite pas de suspicion, ce qui rend la prise de contr\u00f4le d’un tel compte particuli\u00e8rement efficace.<\/p>\n<\/details>\n
\nQu’est-ce qui prot\u00e8ge le plus efficacement contre de telles attaques ?<\/strong><\/summary>\n
Un inventaire de d\u00e9pendances connu, des fichiers de verrouillage fixes, des preuves d’origine v\u00e9rifi\u00e9es et des signatures, ainsi que des droits strictement limit\u00e9s dans la construction. De plus, pas de secrets persistants dans les environnements avec des d\u00e9pendances non v\u00e9rifi\u00e9es.<\/p>\n<\/details>\n
Conseils de lecture de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/oauth-token-diebstahl-mfa-umgehung-device-code-saas-soc-cover-hero-250x143.jpg\")
<\/span>Conseil de lecture<\/span>Vol de jeton OAuth : comment les attaquants contournent MFA<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-ransomware-cover-hero-250x143.jpg\")
<\/span>Conseil de lecture<\/span>Comment fonctionne une attaque de ransomware<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-edr-xdr-cover-hero-250x143.jpg\")
<\/span>Conseil de lecture<\/span>Ce qui distingue vraiment EDR et XDR<\/span><\/span><\/a><\/p>\nPlus d’informations sur le r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ki-modell-denken-anthropic-j-space-86585047.jpg\")
<\/span>cloudmagazin<\/span>Pour la premi\u00e8re fois, on peut observer une intelligence artificielle en train de r\u00e9fl\u00e9chir<\/span><\/span><\/a>![\"\"](\"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/07\/ki-mittelstand-pilot-skalierung-roi-roadmap-cover-hero-760x434.jpg\")
<\/span>MyBusinessFuture<\/span>Intelligence artificielle dans les PME : du pilotage \u00e0 la mise \u00e0 l’\u00e9chelle<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-konglomerat-holding-aumovio-tkms-siemens-42852037-250x143.jpg\")
<\/span>Digital Chiefs<\/span>La direction informatique d\u00e9termine si le spin-off est rentable<\/span><\/span><\/a><\/p>\nSource de l’image : g\u00e9n\u00e9r\u00e9e par IA (juillet 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"La cybersecurity : un SDK npm manipul\u00e9 a vol\u00e9 des cl\u00e9s priv\u00e9es de portefeuilles et s\u2019est propag\u00e9 via **17 paquets**.","protected":false},"author":50,"featured_media":21993,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Attaque cha\u00eene logistique npm","_yoast_wpseo_title":"Un paquet npm qui volait les cl\u00e9s priv\u00e9es","_yoast_wpseo_metadesc":"Cybers\u00e9curit\u00e9 : Un SDK npm truqu\u00e9 a vol\u00e9 des cl\u00e9s de portefeuille priv\u00e9s via 17 paquets. Pourquoi chaque build est impact\u00e9.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[254],"tags":[],"class_list":["post-21996","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung"],"evm_reading_time_minutes":7,"wpml_language":"fr","wpml_translation_of":21992,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21996","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=21996"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21996\/revisions"}],"predecessor-version":[{"id":21997,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21996\/revisions\/21997"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/21993"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=21996"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=21996"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=21996"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- ✓<\/span>Traiter toutes les cl\u00e9s et les mn\u00e9motechniques qui ont travers\u00e9 une version affect\u00e9e comme compromises, les faire tourner et d\u00e9placer les cr\u00e9dits.<\/li>\n
- D\u00e9guis\u00e9 en t\u00e9l\u00e9m\u00e9trie.<\/strong> La fonction malveillante codait les donn\u00e9es en base64 et les envoyait silencieusement \u00e0 un point de terminaison dissimul\u00e9.<\/li>\n