Axios NPM-pakket gecompromitteerd in supply chain-aanval

Update 31 maart 2026, 13:28 UTC: Dit artikel is bijgewerkt met commentaar van Abdelfattah Ibrahim, senior offensive security engineer bij Hacken.

Twee kwaadaardige Axios npm-releases hebben geleid tot waarschuwingen voor ontwikkelaars om inloggegevens te vervangen en getroffen systemen als gecompromitteerd te beschouwen na een supply chain-aanval die de populaire JavaScript HTTP-clientbibliotheek vergiftigde.

Het beveiligingslek werd voor het eerst gemeld door cyberbeveiligingsbedrijf Socket, dat aangaf dat [email protected] en [email protected] waren aangepast om [email protected] binnen te halen, een kwaadaardige dependency die automatisch werd uitgevoerd tijdens installatie voordat de releases van npm werden verwijderd.

Volgens beveiligingsbedrijf OX Security kan de gewijzigde code aanvallers toegang op afstand geven tot geïnfecteerde apparaten, waardoor ze gevoelige gegevens zoals inloggegevens, API-sleutels en cryptowalletinformatie kunnen stelen.

Het incident toont aan hoe een enkel gecompromitteerd open-sourcecomponent zich mogelijk kan verspreiden over duizenden applicaties die erop vertrouwen, waarbij niet alleen ontwikkelaars maar ook platforms en gebruikers die met het systeem verbonden zijn, worden blootgesteld. 

Beveiligingsbedrijven dringen aan op sleutelrotatie en systeemaudits

OX Security waarschuwde ontwikkelaars die [email protected] of [email protected] hebben geïnstalleerd om hun systemen als volledig gecompromitteerd te beschouwen en onmiddellijk inloggegevens te vervangen, inclusief API-sleutels en sessietokens.

Socket meldde dat de gecompromitteerde Axios-releases waren aangepast om een dependency op [email protected] op te nemen, een pakket dat kort voor het incident werd gepubliceerd en later als kwaadaardig werd geïdentificeerd.

Gerelateerd: Trust Wallet-browserextensie offline gehaald door Chrome Store 'bug', zegt CEO

Het bedrijf zei dat de dependency was geconfigureerd om automatisch te worden uitgevoerd tijdens installatie via een post-install-script, waardoor aanvallers code konden uitvoeren op doelsystemen zonder extra gebruikersinteractie.

Socket adviseerde ontwikkelaars om hun projecten en dependency-bestanden te controleren op de getroffen Axios-versies en het bijbehorende [email protected]-pakket, en om eventuele gecompromitteerde versies onmiddellijk te verwijderen of terug te draaien.

Abdelfattah Ibrahim, senior offensive security engineer bij Hacken, vertelde Cointelegraph dat het beveiligingslek ernstige gevolgen zou kunnen hebben voor cryptogerelateerde applicaties die op Axios vertrouwen voor backend-operaties.

"Dat is slecht nieuws voor dapps en apps die met cryptocurrency werken, omdat Axios een enorme rol speelt bij API-aanroepen," zei hij, waarbij hij opmerkte dat getroffen systemen exchange-integraties, wallet-saldocontroles en transactie-uitzendingen zouden kunnen omvatten.

Ibrahim zei dat de malware die bij de aanval werd ingezet functioneert als een volledige remote access trojan, waardoor aanvallers direct kunnen communiceren met gecompromitteerde systemen. Hij voegde eraan toe dat het incident een bredere zwakte benadrukt in de manier waarop supply chain-risico's worden aangepakt.

Eerdere crypto-incidenten benadrukken supply chain-risico's

Eerdere crypto-incidenten hebben laten zien hoe supply chain-inbreuken kunnen escaleren van gestolen ontwikkelaarsinformatie tot gebruikersgerichte walletverliezen.

Op 3 januari rapporteerde onchain-onderzoeker ZachXBT dat "honderden" wallets op Ethereum Virtual Machine-compatibele netwerken werden geleegd in een brede aanval die kleine bedragen van elk slachtoffer afroomde. 

Cyberbeveiligingsonderzoeker Vladimir S. zei dat het incident mogelijk verband hield met een inbreuk in december die Trust Wallet trof, wat resulteerde in ongeveer $7 miljoen aan verliezen over meer dan 2.500 wallets. 

Trust Wallet zei later dat de inbreuk mogelijk is ontstaan door een supply chain-compromis met betrekking tot npm-pakketten die in de ontwikkelingsworkflow werden gebruikt.

Magazine: Niemand weet of kwantumveilige cryptografie überhaupt zal werken