Faux accélérateur Web3 diffuse malwares via des packages npm
19 octobre 2026 · Cybersécurité · GOOGL,AMZN
Une opération malveillante baptisée REF8801 se fait passer pour un accélérateur Web3 nommé Apex Accelerator pour cibler des startups crypto via des packages npm malveillants. Ces packages déploient un stealer Windows exfiltrant via Telegram et un backdoor macOS (CloudSyncD), tout en générant de faux rapports de sécurité. L'opération intercepte également le trafic LLM des agents IA (OpenRouter) pour rediriger les requêtes vers des serveurs contrôlés par les attaquants. Active depuis au moins avril 2026, la campagne a été observée dans des conférences majeures comme TOKEN2049.
Impact marchés
Secteurs crypto/Web3 et IA agent fortement exposés. Anthropic (Claude) et Google (Gemini) mentionnés comme leurres. Risque pour les développeurs de wallets crypto et d'outils de trading. Fournisseurs de sécurité endpoint (détection AMSI/ETW bypassée) et la chaîne d'approvisionnement npm concernés.
Opportunités
Opportunité pour les éditeurs de sécurité spécialisés supply chain (Socket, Elastic, Jamf) et les solutions de détection comportementale. Risque à surveiller : multiplication des attaques ciblant les agents IA et le trafic LLM, nouveau vecteur d'attaque via MCP servers malveillants.