Вредоносные крейты evm-units и uniswap-utils скачивали полезную нагрузку для кражи криптовалют

Команда crates.io удалила два вредоносных крейта — evm-units и uniswap-utils. Оба скачивали полезную нагрузку, по всей видимости предназначенную для кражи криптовалют.

Что было известно

2 декабря о крейтах сообщила исследовательская команда Socket. evm-units вышел в апреле 2025 года, тринадцать версий, 7257 загрузок. uniswap-utils — четырнадцать версий, тоже апрель 2025 года, 7441 загрузка, и он зависел от evm-units.

Пользователь отключён, оба крейта удалены в 22:01 UTC 2 декабря, файлы сохранены для анализа. Зависимых крейтов на crates.io не было.

Чем эта пара отличается от предыдущей

В сентябре злоумышленники копировали настоящую библиотеку: исходный код, возможности и документация были как в оригинале, отличалась только нагрузка. Здесь наоборот — крейты были написаны с нуля, а их названия лишь напоминали модули, связанные с криптовалютами.

Суммарно около 14,7 тысячи загрузок — наибольший охват среди трёх случаев этой осени.

Что это значит на практике

Проверка по сходству имени с ожидаемым здесь не работает вообще: подделки нет, есть просто незнакомый пакет с подходящим названием.

Полезный признак — возраст и объём. Крейт с тремя версиями и семью тысячами загрузок за полтора года, добавленный в зависимости к проекту по работе с блокчейном, заслуживает вопросов. Тем более что доверять описанию на crates.io в таком случае нельзя: крейты, пишущиеся с нуля, обычно выглядят безобидно.

Оригинал

crates.io: Malicious crates evm-units and uniswap-utils от 3 декабря 2025 года