Два вредоносных npm-пакета, замаскированных под инструменты для криптостартапов, устанавливали стилеры и бэкдоры на Windows и macOS, а заодно могли перенаправлять трафик ИИ-агентов через инфраструктуру злоумышленников. Кампания важна не только для Web3: разработчик, запускающий «бесплатный аудит» или CLI с обещанием ИИ-кредитов, рискует отдать атакующим пароли, сессии, фрагменты кода и историю запросов моделей.
За схемой стоит фальшивый венчурный акселератор Apex Accelerator, который исследователи Elastic Security Labs отслеживают под идентификатором REF8801, сообщает The Hacker News. В npm были опубликованы пакеты @apexacc/cli и @apexacc/audit. Первый рекламировали как ИИ-помощника для основателей Web3-проектов, второй — как MCP-сервер с 18 инструментами для проверки токенов, кошельков и смарт-контрактов. Аккаунт издателя назывался apexaccelerator, а пакеты были связаны с GitHub-аккаунтом apexaccs и организацией Apex Foundation.
Обещанная функциональность оказалась декорацией. «Аудит» выдавал сфабрикованные уязвимости, а проверка в CLI формировала ничем не подтверждённую оценку вымышленного проекта. Реальная задача пакетов — определить ОС жертвы, запросить дальнейшую нагрузку с серверов операторов и запустить подходящую цепочку заражения. На момент публикации исследования репозитории и пакеты уже были недоступны, но это не превращает инцидент в историю из прошлого: зависимость могла остаться в локальном кеше, форке или внутреннем шаблоне проекта.
На Windows цепочка начиналась с закодированной PowerShell-команды, затем загружала несколько исполняемых файлов и пыталась повысить привилегии через обход UAC. Финальный стилер собирал сведения о системе и процессах, содержимое буфера обмена, скриншоты, имена Wi‑Fi-профилей и данные из криптокошельков, браузерных расширений, мессенджеров, VPN-клиентов, FTP-программ и игровых клиентов. Отдельно вредонос пытался извлекать пароли, cookies, историю и данные профилей Chrome, Edge, Firefox и «Яндекс Браузера», включая обход защиты Chrome App-Bound Encryption. Собранные данные отправлялись через Telegram.
На macOS вредоносные npm-пакеты скачивали shell-скрипт и архив с дроппером CloudSyncD. Он показывал поддельное системное окно авторизации, выманивал пароль пользователя и применял его для запуска полезной нагрузки с правами sudo. Затем бэкдор инвентаризировал хост, передавал данные на внешний сервер и мог получать команды на загрузку следующих компонентов. CloudSyncD исследователи Jamf Threat Labs описали в сентябре 2026 года: тогда малварь распространялась через фальшивый установщик Zoom. Меняется упаковка, но базовый приём старый и неприятно эффективный — убедить человека самому подтвердить выполнение опасной команды.
У этой кампании есть ещё один слой риска, особенно заметный на фоне быстрого внедрения агентных инструментов в разработку. Пакеты могли менять настройки так, чтобы запросы к OpenRouter шли через подконтрольный атакующим API, а в конфигурации агента появлялся чужой MCP-сервер. В такой схеме оператор получает не только токены доступа: в запросах к модели могут оказаться промпты, история диалога, куски исходного кода и результаты вызова инструментов. Подконтрольный MCP-сервер способен добавлять собственные инструкции, описания инструментов и допустимые параметры — то есть влиять на то, какие действия агент посчитает нормальными.
Кампания развивалась не один день. В конце июля SafeDep сообщала о трёх связанных пакетах, распространявших macOS-стилер Atomic Stealer: @apexfdn/apex, @copilot-mcp/apex и @apexfdn/copilot-mcp. По данным Socket, Apex Foundation использовала как минимум два домена с апреля 2026 года. Архивные снимки сайта от 19 марта обещали инвестиции, гранты и партнёрства на сумму до 235 тыс. долларов, а публикации в X показывали обращения к разработчикам криптокошельков и сервисов рыночной аналитики с инвестиционными предложениями и просьбой запустить инструмент проверки.
Исследователи также зафиксировали попытки нарастить доверие офлайн-присутствием на TOKEN2049 в Сингапуре и других мероприятиях. Это полезное напоминание для фаундеров и технических руководителей: логотип на конференции, аккуратный GitHub и привлекательное письмо от «инвестора» не заменяют проверку репутации. Русскоязычным командам стоит включить в процесс оценки партнёров элементарную гигиену: не запускать установщики из инвестиционной переписки на рабочих машинах, проверять владельца пакета и историю релизов, фиксировать версии зависимостей и ограничивать доступ агентных инструментов к секретам и репозиториям.
Случай Apex показывает, что атаки на цепочку поставки теперь охотятся не только за npm-токенами и ключами кошельков. ИИ-агент становится новым каналом утечки контекста разработки и новым объектом подмены. Чем больше команд подключают MCP и внешние LLM-шлюзы к внутренним данным, тем важнее относиться к их конфигурации как к коду с высоким уровнем доступа — с ревью, журналированием и явным списком доверенных серверов. Детали исследования и индикаторы кампании доступны в .