Ataque ao npm adultera pacotes como chalk e debug para trocar endereços de carteira: o que aconteceu e como se proteger

São Paulo, 16 de setembro de 2025 — Na segunda-feira, 8 de setembro, desenvolvedores de todo o mundo receberam um alerta: versões novas de pacotes tão básicos que quase todo projeto JavaScript os usa, como chalk e debug, tinham sido publicadas com código malicioso. O objetivo não era roubar senhas nem derrubar servidores. Era mais simples e mais perigoso para quem lida com cripto: trocar, no navegador, o endereço de carteira para onde o usuário pretendia enviar dinheiro.

Pacotes do mantenedor comprometidos, segundo a Aikido Security; com outros projetos, a Wiz listava 24 em 9/9

18

Downloads semanais somados dos pacotes afetados

2 bi+

Tempo em que as versões maliciosas ficaram disponíveis, segundo a Wiz

~2 h

Redes cujos endereços o código tentava trocar: Ethereum, Bitcoin, Solana, TRON, Litecoin e Bitcoin Cash

6

O que aconteceu

O npm é o repositório público de pacotes JavaScript. Projetos de sites e aplicativos puxam de lá bibliotecas prontas e, com elas, as bibliotecas das quais essas dependem. Isso cria uma cadeia de suprimentos: quem invade uma peça pequena e popular chega a milhares de programas sem tocar neles.

O mantenedor Josh Junon, conhecido como Qix, recebeu um e-mail de phishing que imitava o suporte do npm, enviado de um domínio parecido (npmjs.help) registrado três dias antes, em 5 de setembro. Ao seguir o link e informar credenciais e o código de autenticação em duas etapas, entregou o controle da conta. Os atacantes publicaram versões novas de 18 pacotes, entre eles chalk 5.6.1, debug 4.4.2, ansi-styles, strip-ansi e color-convert. A empresa de segurança Aikido sinalizou as versões às 13h16 UTC (10h16 em Brasília), e o mantenedor confirmou a invasão cerca de duas horas depois. No dia seguinte, a JFrog e a Wiz relataram que a mesma campanha também tinha atingido pacotes do DuckDB, de outro projeto.

1. 05/09/2025Registro do domínio de phishing que imita o suporte do npm.
2. 08/09, cerca de 13h UTCA conta do mantenedor é tomada e versões maliciosas dos pacotes são publicadas.
3. 08/09, 13h16 UTCA Aikido sinaliza as versões adulteradas.
4. 08/09, 15h15 UTCO mantenedor confirma a invasão e começa a limpeza; as versões ficaram disponíveis por cerca de duas horas, segundo a Wiz.
5. 09/09/2025JFrog e Wiz relatam que a campanha também atingiu pacotes do DuckDB; empresas de segurança publicam listas de indicadores.

Como o código trocava os endereços

O código só agia em navegadores, quando uma página que usava os pacotes estava aberta. Ele se encaixava em funções que o site usa para conversar com a rede e com a carteira, e alterava os dados no meio do caminho.

A semelhança é o ponto central. Quem confere só o começo e o fim do endereço pode ser enganado por um endereço escolhido justamente por ter início e fim parecidos. É a mesma lógica do envenenamento de endereço, mas aplicada dentro do software, e não no histórico da carteira.

Quanto os criminosos levaram

Pouco, segundo os primeiros relatos. A Wiz, citando relatos de pesquisadores nas redes sociais, descreveu o ganho como “mínimo”, e não há um valor consolidado por fonte primária. Dois fatores ajudam a explicar: as versões ficaram no ar por cerca de duas horas, e o código afetava só páginas de aplicações que atualizaram a dependência e foram publicadas nesse intervalo, muitas delas sem nenhum fluxo de pagamento em cripto.

Como se proteger quando se paga em cripto

Para quem desenvolve, as regras são: fixar versões com arquivo de bloqueio (package-lock.json), instalar com npm ci, esperar alguns dias antes de adotar versões recém-publicadas e proteger contas de publicação com chaves de segurança físicas, que não se entregam num site falso como um código digitado. Para quem apenas paga, o princípio é outro: a tela do computador não é prova do endereço. Foi a mesma lição do ataque à Bybit, em que a tela mostrava o destino certo e a assinatura autorizava outro.

1. Confira o endereço no dispositivo da carteira (carteira de hardware ou aplicativo do celular), não no site ou na extensão do navegador.
2. Compare o endereço inteiro, caractere a caractere, com o que o fornecedor informou por um canal fora do computador, como uma ligação para um telefone já conhecido.
3. Na rede TRON, o endereço TRC-20 começa com T e tem 34 caracteres; veja como lê-lo em o que é a rede TRON.

A conferência fora do computador vale porque quebra a dependência da mesma máquina. Um navegador adulterado pode mostrar um endereço trocado igualmente no site, no e-mail aberto no webmail e na tela de confirmação, mas não altera a mensagem enviada por telefone nem o que aparece no dispositivo da carteira. O envio de teste, a lista de carteiras aprovadas e a dupla aprovação completam a rotina e estão no guia contra o envenenamento de endereço.

O que o episódio mostra

O caso reforça um padrão visto em 2025: o elo mais fraco costuma ser uma pessoa ou uma credencial, e não a criptografia. Um e-mail convincente a uma única pessoa bastou para atingir bibliotecas presentes em incontáveis projetos. A resposta passou por mantenedores, empresas de segurança e o próprio npm, e as versões saíram do ar em cerca de duas horas, mas a conferência final do destino continua sendo responsabilidade de quem envia o dinheiro.

• Hacks
• Carteiras
• Segurança digital
• Engenharia social
• Golpes
• TRON
• USDT