Вы — талантливый разработчик Web3, и однажды в социальной сети появляется сообщение — крупная компания ищет сотрудников. Вакансия заманивает, условия превосходные, и вскоре вам присылают архив с кодами, заявляя, что это «база кода для собеседования».

Вы не задумываетесь долго и одним нажатием команды выполняете npm install.

И в этот самый момент вас «заражает». Ваши учетные данные для входа, данные браузера и приватный ключ вашего криптокошелька с активами — всё отправляется на сервер в тёмный угол интернета. Потеря работы — мелочь, настоящая проблема — вы становитесь автоматическим банкоматом для злоумышленников.

Эта схема называется «зараженное собеседование» (Contagious Interview), звучит как научная фантастика, но происходит на самом деле. Недавний отчёт команды по безопасности показывает, что в npm уже загружено более 300 вредоносных пакетов — центра, который предоставляет миллионам разработчиков по всему миру строительные блоки кода.

За этим стоит хакерская группировка из определённой страны. Страна, которая часто игнорируется на международной арене, но обладает передовыми возможностями кибервойны. Этот контраст действительно вызывает интерес.

Почему платформа npm стала очагом заражения? По сути, она — открытая огромная библиотека — любой разработчик может загрузить пакет, и миллионы программистов по всему миру могут его скачать и использовать. Удобство и риск идут рука об руку. А когда злоумышленники используют этот механизм, чтобы загрузить «кирпичи» с вредоносным кодом, защититься практически невозможно. Особенно уязвимы те разработчики, которые хотят быстро решить проблему и не имеют времени на тщательный просмотр кода.