Depuis le 22 mai 2026, une campagne d’attaque silencieuse cible les développeurs qui construisent sur Solana, Sui et Aptos. Son nom de code : TrapDoor. Le principe est simple et redoutable : des packages d’apparence anodine, publiés sur les trois plus grands registres de code open-source au monde, npm, PyPI et Crates.io, s’installent discrètement sur les machines des développeurs et pillent tout ce qu’ils trouvent. Wallets crypto, clés SSH, tokens GitHub, credentials AWS, données de navigateur. La firme de sécurité Socket a identifié plus de 34 packages malveillants répartis sur 384 versions, tous encore actifs au moment de la publication du rapport le 25 mai. Ce n’est pas une attaque contre des utilisateurs lambda, c’est une opération chirurgicale visant les personnes qui ont les clés du royaume.
Comment fonctionne TrapDoor : ennuyeux par design
La première règle d’une attaque supply-chain réussie est de ne pas se faire remarquer. TrapDoor applique cette règle à la lettre. Les packages ont des noms volontairement banals : « wallet-security-checker », « defi-risk-scanner », « solidity-helpers », « sui-move-build-helper ». Des noms que n’importe quel développeur pourrait installer sans méfiance lors d’un nouveau projet.
Une fois installés, les mécanismes d’exécution varient selon l’environnement. Sur npm (JavaScript/Node.js), les packages utilisent des hooks post-installation qui se déclenchent automatiquement après chaque commande npm install. Sur PyPI (Python), l’exécution démarre dès l’import du package dans le code. Sur Crates.io (Rust), les scripts build.rs s’activent lors de la compilation. Dans les trois cas, le développeur ne voit rien. La machine commence à exfiltrer des données pendant que l’écran affiche une installation normale.
Le payload JavaScript principal un fichier de 1 149 lignes baptisé trap-core.js utilise le chiffrement Fernet et ECDH pour sécuriser les communications avec les serveurs des attaquants. Il valide même les credentials AWS et GitHub volés via des appels API en temps réel, pour identifier les cibles les plus précieuses avant de les prioriser.
Ce que les attaquants cherchent à voler
La liste des données ciblées par TrapDoor est exhaustive. Les chercheurs de Socket ont documenté les catégories suivantes extraites des machines infectées : clés privées SSH, fichiers keystore de wallets Solana, Sui et Aptos, credentials AWS, tokens GitHub, bases de données de connexion des navigateurs, données des extensions de wallets crypto — dont MetaMask, Coinbase Wallet et Brave Wallet —, variables d’environnement et fichiers de configuration locaux.
Un point important : Socket précise que les plateformes elles-mêmes n’ont pas été compromises. MetaMask, Coinbase et Brave n’ont pas été hackés. Ce sont les fichiers locaux des développeurs sur leurs propres machines qui ont été ciblés. La nuance est capitale. Un développeur travaillant sur un projet DeFi a souvent des wallets de test, des wallets de déploiement et parfois des wallets de production sur la même machine que son environnement de développement. C’est précisément cette réalité que TrapDoor exploite.
L’escalade IA : quand le malware détourne Claude et Cursor
TrapDoor introduit une dimension inédite dans l’histoire des attaques supply-chain : l’exploitation des assistants de code IA. Les attaquants ont planté des instructions cachées dans des fichiers de configuration utilisés par les outils d’assistance au développement comme Cursor et les assistants basés sur Claude — notamment les fichiers .cursorrules et CLAUDE.md, qui permettent aux développeurs de donner des instructions contextuelles à leur IA de travail.
Ces instructions sont dissimulées à l’aide de caractères Unicode à largeur nulle, invisibles à l’œil humain dans un éditeur de code. Lorsqu’un développeur infecté demande à son assistant IA d’effectuer une revue de sécurité de son projet, l’IA exécute en réalité un faux « scan de sécurité » programmé pour collecter et envoyer des secrets supplémentaires aux attaquants. L’IA devient un vecteur d’exfiltration involontaire. Socket a également retrouvé des traces de pull requests envoyées à des projets populaires comme LangChain pour y propager ces configurations malveillantes.
La chronologie : sept jours d’infection active avant détection
La première activité malveillante remonte au 22 mai 2026 à 20h20 UTC, avec la publication du package eth-security-auditor@0.1.0 sur PyPI. Les packages ont ensuite été publiés en vagues coordonnées depuis un petit nombre de comptes, couvrant les trois registres en quelques jours. Socket a identifié l’attaque le vendredi 23 mai et publié un rapport complet le dimanche 25 mai. Depuis, la firme a signalé le compte GitHub de l’attaquant à la plateforme et supprimé plusieurs packages. Mais certains étaient encore téléchargeables au moment de la publication initiale du rapport. Pour les développeurs de la communauté francophone actifs sur Solana, Sui ou Aptos entre le 22 et le 25 mai, une vérification de leurs dépendances installées sur cette période est fortement recommandée.
Comment se protéger concrètement
Si vous développez sur Solana, Sui, Aptos ou tout autre écosystème DeFi, voici les mesures immédiates à appliquer. Auditez vos dépendances récentes avec la commande npm audit ou l’équivalent PyPI/Cargo pour tout package installé depuis le 22 mai. Vérifiez la présence de fichiers suspects dans votre environnement, notamment trap-core.js ou tout fichier .cursorrules que vous n’avez pas créé vous-même. Rotez immédiatement vos credentials si vous avez installé l’un des packages listés par Socket : clés SSH, tokens GitHub, credentials AWS. Utilisez des wallets de développement isolés, distincts de vos wallets de production, et ne stockez jamais de clés privées de wallets contenant des fonds réels sur votre machine de développement. Enfin, vérifiez les fichiers de configuration de vos outils IA — notamment .cursorrules et CLAUDE.md à la recherche de contenu que vous n’avez pas écrit.
La liste complète des packages malveillants identifiés est disponible dans le rapport technique de Socket Security.
TrapDoor marque une nouvelle étape dans la sophistication des attaques crypto. En ciblant les développeurs plutôt que les utilisateurs, les attaquants visent les personnes qui ont accès aux smart contracts, aux wallets de déploiement et à l’infrastructure de projets entiers. Un seul développeur compromis peut exposer des milliers d’utilisateurs. L’exploitation des assistants IA comme vecteurs secondaires d’exfiltration est un précédent inquiétant qui montre que les attaquants s’adaptent aux outils de travail de leurs cibles avec une rapidité préoccupante.
Dans un écosystème où la confiance dans les outils open-source est la fondation même du développement décentralisé, TrapDoor rappelle que la supply chain est désormais le front le plus exposé de la sécurité crypto.
⚠️ Cet article est à titre informatif uniquement et ne constitue pas un conseil financier. FRCrypto News n’est pas responsable des décisions d’investissement prises sur la base de ce contenu. Les cryptomonnaies sont des actifs hautement volatils. Faites toujours vos propres recherches avant tout investissement.
