Le CTO de Ledger, Charles Guillemet, alerte sur une attaque “supply chain” d’ampleur sur NPM. Des librairies populaires ont été compromises pour voler vos cryptomonnaies. Découvrez comment vous protéger.
Pourquoi cet article est une alerte de sécurité critique que vous devez lire maintenant : Une attaque d'une ampleur sans précédent vise actuellement l'ensemble de l'écosystème JavaScript et, par extension, des millions d'utilisateurs de cryptomonnaies. L'alerte a été sonnée par*Charles Guillemet, le Directeur Technique (CTO) de Ledger, une des plus hautes autorités en matière de sécurité crypto. Des paquets de code utilisés par presque tous les sites et applications ont été compromis pour voler vos fonds de manière quasi invisible. Ce guide complet vous explique comment l'attaque fonctionne, son ampleur, et surtout, comment vous protéger.
Le 8 septembre 2025, Charles Guillemet, CTO de Ledger et fondateur du réputé Donjon Ledger, a lancé une alerte critique sur X (anciennement Twitter) : une attaque par chaîne d'approvisionnement (supply chain attack) de grande ampleur est en cours, menaçant potentiellement l'ensemble de l'écosystème JavaScript et les portefeuilles de cryptomonnaies.
L'attaque provient de la compromission du compte NPM (le registre de paquets logiciels pour JavaScript) d'un développeur très respecté, "qix". Des versions malveillantes de ses librairies, qui sont des dépendances fondamentales pour des milliers de projets, ont été publiées.
Le danger réside dans l'ubiquité des paquets compromis. Ces librairies ne sont pas des outils de niche ; ce sont des briques de base de l'internet moderne. Parmi les paquets infectés, on trouve :
Au total, les paquets affectés comptabilisent plus d'un milliard de téléchargements hebdomadaires. Cela signifie que le code malveillant a potentiellement été intégré dans d'innombrables sites web, applications, et outils de développement à travers le monde.
Le rapport technique détaillé partagé par Charles Guillemet révèle un mode opératoire en deux temps, conçu pour être aussi invisible que possible.
Le malware commence par "infecter" les fonctions de communication de base du navigateur (`fetch` et `XMLHttpRequest`). À partir de là, il analyse toutes les données qui transitent.
Si le malware détecte la présence d'un portefeuille de navigateur (`window.ethereum`), il passe en mode actif et devient extrêmement dangereux :
L'utilisateur voit alors une notification de signature dans MetaMask. S'il ne vérifie pas avec une attention extrême chaque caractère de l'adresse du destinataire, il signera sans le savoir une transaction qui envoie ses fonds directement à l'attaquant.
L'alerte de Charles Guillemet est claire. Voici les mesures à prendre immédiatement.
Cette attaque est un rappel brutal de la fragilité de la chaîne d'approvisionnement logicielle. Comme le souligne Charles Guillemet, la sécurité de l'écosystème repose sur la confiance, mais aussi sur une vigilance de tous les instants. Les recommandations sont claires : vérifiez, vérifiez, et vérifiez encore. Et si vous n'avez pas de hardware wallet, le moment n'a jamais été aussi bien choisi pour en acquérir un.
Un jeune Suisse a été séquestré 4 jours à Valence pour une rançon en cryptomonnaies. Le GIGN a libéré l’otage et interpellé 7 suspects. Retour sur cette affaire et la série noire des “crypto-enlèvements”.
À peine lancé, le token WLFI est la cible de pirates exploitant une faille d’Ethereum (EIP-7702). Découvrez comment fonctionne cette attaque de phishing et comment protéger vos actifs.
ZachXBT dévoile une fuite explosive sur plus de 200 influenceurs crypto et leurs tarifs cachés. Découvrez les risques, manipulations et comment protéger vos investissements.