Tu es un développeur Web3 compétent, un jour sur une plateforme sociale, tu reçois un message — une grande entreprise semble recruter. Le poste est attractif, la rémunération imbattable, et l’autre partie t’envoie rapidement un fichier compressé, disant que c’est la "bibliothèque de code pour l’entretien".

Tu ne réfléchis pas trop, tu cliques et exécutes npm install.

En une seconde, tu es "contaminé". Tes identifiants de connexion, tes données de navigateur, et la clé privée de ton portefeuille cryptographique contenant tes actifs, tout est envoyé en paquet à un serveur dans un coin obscur. Perdre ton emploi, ce n’est qu’un détail, le vrai problème c’est que — tu es devenu une machine à retirer de l’argent automatique pour quelqu’un d’autre.

Ce stratagème s’appelle "Contagious Interview" (Entretien Contagieux), ça ressemble à de la science-fiction, mais ça se passe en vrai. Une récente étude de sécurité indique que plus de 300 paquets de code malveillant ont été uploadés sur npm — cette plateforme centrale qui fournit des blocs de code à des millions de développeurs dans le monde.

Les responsables derrière tout ça pointent vers un groupe de hackers d’un pays spécifique. Un pays souvent ignoré sur la scène internationale, mais qui possède des capacités de cyber-guerre de premier ordre. Ce contraste est vraiment intrigant.

Pourquoi npm est-il devenu un point chaud ? En gros, c’est comme une bibliothèque géante ouverte — tout développeur peut uploader un paquet, et tous les programmeurs du monde peuvent le télécharger et l’utiliser. La commodité s’accompagne souvent de risques. Et quand des hackers exploitent ce mécanisme pour uploader des "blocs" contenant du code malveillant, il est difficile pour les téléchargements de s’en prémunir. Surtout ceux qui veulent résoudre rapidement un problème sans avoir le temps de vérifier ligne par ligne le code.