Cybersecurity-Forscher haben eine neue Angriffswelle aufgedeckt, die sich über das npm-Paket-Registry an Kryptoentwickler richtet. Im Juli 2025 wurden zwei bösartige Pakete, “colortoolsv2” und “mimelib2,” als Teil einer komplexen Kampagne hochgeladen, die soziale Ingenieurarbeit und Täuschung verwendete, um ahnungslose Entwickler auszutricksen. Während diese Pakete legitim erschienen, war ihre wahre Absicht, Downloader-Malware auf jedem System zu installieren, das sie einbezog.

Was diese Kampagne besonders bemerkenswert macht, ist ihre innovative Nutzung von Ethereum-Smart-Contracts, um die Command-and-Control-Infrastruktur zu verbergen. Anstatt bösartige URLs oder Skripte direkt in die Paketdateien einzubetten, speicherten die Angreifer die URLs, die die zweite Malware-Stufe abrufen, innerhalb von Ethereum-Smart-Contracts. Diese neuartige Taktik erschwert die Erkennung erheblich, da die bösartige Infrastruktur im Paketcode nicht sichtbar ist, sondern auf der Blockchain verborgen bleibt.

Sobald “colortoolsv2” oder “mimelib2” in einem Projekt verwendet wurde, würde die Malware die mit dem Angreifer verbundene Ethereum-Smart-Contract kontaktieren, die Payload-URL abrufen und weitere Malware von dieser Adresse herunterladen. Dieser Ansatz spiegelt einen wachsenden Trend unter Cyberkriminellen wider, zu innovieren und traditionelle Erkennungsmethoden zu umgehen, indem sie dezentrale und schwer zu überwachende Plattformen wie die Blockchain nutzen.

Der Vorfall dient als ernsthafte Warnung für Entwickler und Organisationen, die auf Open-Source-Repositories angewiesen sind. Er hebt die Notwendigkeit von Wachsamkeit, Sicherheit in der Lieferkette und sorgfältiger Prüfung von Drittanbieter-Paketen hervor, insbesondere in kritischen Bereichen wie der Kryptowährungsentwicklung. Da Bedrohungsakteure weiterhin modernste Techniken übernehmen, ist es entscheidend, informiert und proaktiv zu bleiben, um Kompromisse zu verhindern und empfindliche Vermögenswerte zu schützen.