بسته مخرب npm با نام nodejs-smtp که Nodemailer را تقلید می‌کند، کیف پول‌های Atomic و Exodus را هدف قرار می‌دهد

محققان امنیت سایبری بسته مخرب npm با نام nodejs-smtp را کشف کرده‌اند که با تقلید از کتابخانه مشروع nodemailer، کد مخرب را در اپلیکیشن‌های کیف پول رمزارز مانند Atomic و Exodus در سیستم‌های ویندوز تزریق می‌کند. این بسته که توسط کاربری به نام “nikotimon” در آپریل ۲۰۲۵ آپلود شده و ۳۴۷ بار دانلود شده است، با استفاده از ابزارهای Electron فایل app.asar کیف پول Atomic را باز کرده، بسته vendor را با کد مخرب جایگزین می‌کند و سپس اپلیکیشن را مجدداً بسته‌بندی کرده و ردپای خود را پاک می‌کند.

هدف اصلی این حمله تغییر آدرس گیرنده تراکنش‌ها به کیف پول‌های کنترل‌شده توسط مهاجم است که باعث هدایت مجدد تراکنش‌های Bitcoin، Ethereum، Tether، XRP و Solana می‌شود و عملاً به عنوان یک کلیپر (clipper) رمزارز عمل می‌کند. کیریل بویچنکو، محقق شرکت Socket، تأکید کرد که “این کمپین نشان می‌دهد چگونه یک import معمولی در ایستگاه کار توسعه‌دهنده می‌تواند بی‌سروصدا یک اپلیکیشن دسکتاپ جداگانه را تغییر دهد و پس از راه‌اندازی مجدد سیستم باقی بماند.” این بسته برای جلوگیری از بروز شک و تردید، همچنان عملکرد اصلی خود را به عنوان یک mailer مبتنی بر SMTP حفظ می‌کند.