هجوم ضخم على نمط الدودة يضرب NPM ويعرض بيانات اعتماد المحفظة للعملات الرقمية للخطر

هجوم سريع الانتشار على سلسلة التوريد المعروف باسم شاي-هولود قد أصاب مئات من حزم npm وكشف عن بيانات حساسة للمطورين، بما في ذلك رموز GitHub، مفاتيح السحاب وبيانات محافظ العملات المشفرة. بدأت الحملة في منتصف سبتمبر 2025 وقد تصاعدت بسرعة حيث يتحرك الدودة عبر حسابات الصيانة ومكتبات JavaScript المستخدمة على نطاق واسع.

كيف ينتشر دودة الشاي-هولود

تقرير وكالات الأمن أن المهاجمين يقومون أولاً باختراق حساب maintainer، وغالبًا ما يكون ذلك من خلال التصيد، ثم يقومون بتحميل إصدارات معدلة من الحزم الشرعية. بمجرد أن يقوم المطور بتثبيت واحد من هذه الإصدارات، يتم تشغيل نص ضار يسمى bundle.js على أنظمة macOS أو Linux.

يعثر الدودة على الآلات و CI خطوط الأنابيب بحثًا عن الأسرار باستخدام الأداة مفتوحة المصدر TruffleHog. يبحث عن عناصر مثل:

• رموز الوصول الشخصية لـ GitHub
• نشر npm الرموز
• مفاتيح السحابة AWS و GCP و Azure
• مفاتيح المحفظة ومؤهلات تطوير العملات المشفرة

إذا وجدت رموز npm صالحة، فإنها تحدث على الفور وتعيد نشر حزم إضافية مملوكة لنفس الصيانة. يسمح هذا السلوك للبرمجيات الخبيثة بالتكاثر بسرعة عبر النظام البيئي.

الاستمرارية وتعريض البيانات

وجد الباحثون أن الدودة تحاول البقاء نشطة من خلال إنشاء سير العمل GitHub Actions داخل مستودعات الضحايا. كما أنها تقوم بتحميل بيانات الاعتماد المسروقة وبيانات المستودعات الخاصة إلى مستودعات GitHub العامة الجديدة الم labeled Shai-Hulud. تتلقى بعض المكتبات المساومة مليارات التنزيلات الأسبوعية، مما يثير مخاوف جدية بشأن نطاق التعرض.

على الرغم من عدم وجود حالات مؤكدة تُظهر إصابات مباشرة بخدمة أسماء إيثريوم أو مكتبات الويب 3 الشهيرة، إلا أن الخطر لا يزال مرتفعًا. لقد استهدفت الهجمات السابقة في npm و PyPI أدوات العملات المشفرة بشكل محدد، لذا يجب على المطورين الذين يعملون على المحافظ، والعقود الذكية أو تطبيقات الويب 3 أن يظلوا حذرين.

لماذا تواجه مشاريع التشفير مخاطر متزايدة

يعتمد المطورون غالبًا على حزم npm داخل أنظمة CI/CD، والحاويات، وبيئات الإنتاج. لذلك، يمكن أن تؤثر الاعتماديات المخترقة على سير عمل blockchain بالكامل. يمكن أن يقوم المهاجمون باعتراض عمليات المحفظة، والتقاط عبارات الاسترداد، أو قراءة أسرار النشر المرتبطة بإدارة العقود الذكية.

ماذا يجب أن يفعل المطورون الآن

يحث الخبراء الفرق على التحرك على الفور:

• تدقيق جميع التبعيات المستخدمة قبل 16 سبتمبر 2025
• تثبيت إصدارات الحزمة الآمنة
• قم بتدوير كل بيانات اعتماد المطور، بما في ذلك GitHub وnpm وSSH ورموز السحابة
• تمكين المصادقة متعددة العوامل المقاومة للتصيد عبر جميع الحسابات

تسليط الضوء على حادثة شاي-هولود يبرز تحولًا كبيرًا في أمان المصدر المفتوح. لم تعد ديدان سلسلة الإمداد المستقلة نظرية. يحتاج النظام البيئي الآن إلى فحوصات اعتماد أكثر صرامة، وأدوات أفضل، وأذونات أكثر تشددًا للمحافظين.