タイポスクワッティングnpmパッケージを悪用、Web3プロジェクトと暗号資産ウォレット運営者を標的にしたハッカー集団

ハッカー集団が、タイポスクワッティング（名前の誤記を狙った）npmパッケージを用いて、Web3開発チームがオープンソースの依存関係に寄せる信頼を武器に変えています。通常のパッケージインストールが、ウォレット窃取・機密情報の収集・段階的なマルウェア配布への入口となっています。

このキャンペーンが特に危険なのは、Ethereumやブロックチェーンのブランドイメージをうまくなじませながら、postinstallやpreinstallフックを悪用している点にあります。これにより、ユーザーが手動で実行するのを待たず、インストール中に自動的に悪意あるコードが実行されます。

本レポートでは、Ethereum、Coinbase Wallet、Moralis、Hardhatなど、正規のブロックチェーンツールや関連ユーティリティを模した名称を持つ、不審なnpmパッケージが11件報告されています。

研究者らは、これらのパッケージが認証情報の窃取・環境偵察・リモートからのペイロード配布・ウォレットへの介入を目的として設計されており、一部のバリアントはウォレット作成フローから直接、秘密鍵やニーモニックフレーズを取得していたことを確認しています。

ひとつの攻撃クラスターは、ethers-jssやcoinbase-wallet-utilsといった偽装ラッパーに特化しており、ライフサイクルフックを悪用してインストール直後にコードを実行していました。

もうひとつのクラスターはmoralis-sdkを中心とするもので、正規のプロジェクトファイルやドキュメントをそのままコピーしつつ、悪意あるpostinstallステージを追加したトロイの木馬型パッケージです。このパッケージは累計2,700万ダウンロードを超えており、他のキャンペーンと比較して被害規模がはるかに大きくなっています。

この手口が機能するのは、タイポスクワッティングが人間の小さなミスを突くからです。開発者がライブラリを検索する際、スペルミスに気づく前に酷似したパッケージをインストールしてしまう可能性があります。

攻撃者はブランドの模倣・コードの難読化・軽量なパッケージ構造も組み合わせており、マルウェアを一見無害なパッケージに見せかけ、コードレビューでの発見を困難にしています。

その技術的な手口は、単純なドロッパーキャンペーンよりも洗練されています。レポートでは、環境変数・.envファイル・SSHキー・Web3設定ファイルからの認証情報収集に加え、多段階のペイロード配布、さらにはブロックチェーンを利用したコマンド＆コントロール（C2）および情報窃取の経路まで確認されています。

GBhackersと情報を共有したCyfirmaのレポートによると、今回のキャンペーンはブロックチェーン開発者やWeb3プロジェクトを標的とした、複数の悪意あるnpmパッケージによる暗号資産ソフトウェアサプライチェーン攻撃とされています。

この点が重要なのは、侵害された1台のワークステーションからクラウドの認証情報・CI/CDシステム・本番環境のウォレットへと攻撃者が横展開できるからです。

タイポスクワッティングnpmパッケージの実態

今回の事例は、ブロックチェーン開発における構造的な脆弱性を浮き彫りにしています。Web3プロジェクトは多くの場合、変化の速いオープンソースパッケージ・頻繁なアップデート・開発者の環境に保存された高権限の機密情報に依存しているためです。

調査時点において、coinbase-wallet-utilsの週間ダウンロード数は約63件でしたが、その後のモニタリングでは66件に増加していることが確認されました。

こうしたワークフローに悪意あるコードが紛れ込んだ場合、被害の範囲にはソースコードだけでなく、秘密鍵・デプロイ認証情報・直接的な金融資産までが含まれる可能性があります。

特に懸念されるのは、攻撃者がひとつの手法に依存していない点です。タイポスクワッティング・ライフサイクルフックの悪用・難読化されたローダー・リモートからのペイロード取得・オンチェーンでの情報窃取を組み合わせることで、検知を困難にし、事後の対応をより複雑にしています。つまり今回は、暗号資産インフラに特化したサプライチェーン攻撃と言えます。

Ethereumユーティリティに特化したnpmパッケージの中にdocker_hunter.pyという名のPythonスクリプトが含まれていた点は、パッケージの主張する機能と明らかに矛盾しており、非常に疑わしいと言えます。

残りのパッケージ内容を分析した結果、その大部分が正規のMoralis SDKのソースコード・サンプル・補助ファイルと完全に一致しており、本物らしく見せるために元のMoralisプロジェクトからコピーされたものとみられます。

この記事の調査結果は、オープンソース悪用の広範なパターンと一致しています。攻撃者がエクスプロイトチェーンよりもパッケージリポジトリを好む理由は、パッケージへの信頼が開発者の行動に既に組み込まれているからです。

Web3アプリケーションを運営するチームにとって、これは依存関係の監査・パッケージ名の確認・ロックファイルの管理・機密情報のスキャンが任意のセキュリティ対策ではなく、中核となるセキュリティ制御であることを意味します。

典型的な例として、開発者がウォレット補助ライブラリのように見えるパッケージをインストールしたところ、postinstallスクリプトが実行され、デプロイ前にニーモニックフレーズや.envの内容が静かに外部へ送信されるケースが挙げられます。

ダウンロード数が少ない小さなパッケージであっても、機密性の高いビルド環境を標的にしている場合は非常に危険な脅威となり得るのはこのためです。

侵害の痕跡（IOC）

注意： IPアドレスおよびドメインは、誤解決や意図しないハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）が施されています。MISP・VirusTotal・SIEMなど、管理されたスレットインテリジェンスプラットフォーム内でのみ元の形式に戻してご使用ください。