Технологии31 марта 2026 г. в 14:454 мин чтенияАвтор · Васильев Марсель

Цепочка поставок npm: атака на Axios 1.14.1 — что делать

Цепочку поставок npm взломали через axios 1.14.1 — смена ключей доступа и откат пакета

Автор

Статья раскрывает детальный анализ атаки на популярную библиотеку Axios, подчеркивая важность защиты цепочек поставок программного обеспечения и предлагая практические шаги для выявления возможных угроз.

Иллюстрация к материалу: Цепочка поставок npm: атака на Axios 1.14.1 — что делать

Безопасность

Инцидент с axios быстро стал показательной историей про цепочку поставок npm: в реестр попали скомпрометированные релизы axios@1.14.1 и axios@0.30.4, опубликованные через взломанную учётку основного автора. Об этом писали в профильных обсуждениях на Reddit, а технический разбор указывает на внедрение отдельной вредоносной зависимости. Для рынка это тревожный сигнал: axios относится к библиотекам, которые стоят в фундаменте огромного числа Node.js проектов, а значит, ошибка в одном месте масштабируется на тысячи команд и пайплайнов.

Ключевая техническая деталь атаки проста и поэтому опасна. В компрометированные версии добавили зависимость plain-crypto-js@4.2.1, которой раньше не существовало. Внутри был обфусцированный postinstall-скрипт, запускающийся автоматически при установке пакета и подтягивающий троян. Разбор на zenn.dev описывает механику как типичную для supply-chain атак: разработчик может даже не заметить момент заражения, потому что вредоносный код приходит в фоне, во время стандартной установки через npm.

Дальше начинается самая неприятная часть: поведение, ориентированное на сокрытие следов. В обсуждениях указывали на попытки «подчистить» артефакты после установки, вплоть до подмены package.json уже на зараженной машине, а также на сильную обфускацию. В терминах последствий речь идет про потенциальный удаленный доступ через RAT и возможность вмешательства в сетевые взаимодействия приложений. Для многих команд это автоматически превращается в риск утечки секретов и токенов, потому что axios часто живет рядом с переменными окружения, ключами API и доступами к инфраструктуре.

Скомпрометированные публикации достаточно быстро удалили после обнаружения, но удаление в реестре не отменяет факта, что часть окружений уже могла успеть их скачать и закешировать в CI. В разборе указано, что безопасными считаются версии не выше 1.14.0 для ветки 1.x и не выше 0.30.3 для ветки 0.x. Это важная граница именно для управления риском: если у вас в lock-файлах встретилась 1.14.1 или 0.30.4, проблему нельзя воспринимать как «просто обновление». Это инцидент безопасности.

Продолжить по теме

Материалы, которые дополняют картину: новости, колонки и видео по этому сюжету.

Технологии4 мин

Безопасность криптобирж: как ИИ ищет уязвимости смарт-контрактов

Статья рассказывает о революционных изменениях в кибербезопасности криптобирж, связанных с внедрением автономных ИИ-систем, способных в считанные часы выявлять уязвимости и радикально снижать риск взломов.

Автор: Васильев Марсель

14 апреля 2026 г. в 23:23

Безопасность

Технологии4 мин

Ошибка в майнинге биткоина: разбор бага, скрытого с 2009 года

Статья раскрывает математическую уязвимость биткоина, обнаруженную спустя 17 лет, и объясняет, какие последствия она может иметь для сети и майнеров.

Автор: Васильев Марсель

13 апреля 2026 г. в 23:39

Безопасность

Технологии4 мин

Хранение криптовалют: главные ошибки и как избежать потерь

Статья раскроет основные ошибки, из-за которых пользователи теряют свои криптоактивы, и предложит советы, как избежать этих pitfalls в мире, где безопасность зависит только от их действий.

Автор: Васильев Марсель

9 апреля 2026 г. в 10:02

Безопасность

Технологии4 мин

Симсвап крипта: как через номер телефона теряют деньги и что делать

Статья раскрывает опасности метода SIM-swap, подчеркивая уязвимость телефонных номеров как критической точки доступа к криптоактивам, и предлагает решения для защиты от подобных атак.

Автор: Васильев Марсель

7 апреля 2026 г. в 18:58

Безопасность

Не согласны или есть дополнение?

Напишите редакции: разберём аргументы, при необходимости обновим текст или дадим ответный материал. red@cryptomarsmedia.ru.