Il punto debole non è più solo l’installazione: in questi pacchetti basta l’import in Node.js per attivare il codice ostile. Per chi usa npm in build pipeline o su runner CI, una dipendenza apparentemente innocua può diventare il punto di compromissione del server che la carica, con effetto anche su artefatti e ambienti di test.
Due beta package nel namespace @joyfill, @joyfill/layouts@0.1.2-2773.beta.0 e @joyfill/components@4.0.0-rc24-2773-beta.4, sono stati trovati backdoored con un implant CommonJS che recupera il payload tramite transazioni su Tron, Aptos e BSC e porta a un Node.js RAT collegato a DEV#POPPER. Le fonti indicano anche un ramo parallelo che mantiene l’esecuzione separata dal processo importante, così il payload può sopravvivere alla fine di un build o di un comando CLI.
L’uso di resolver multi-blockchain toglie di mezzo il classico server d’attacco da bloccare o sequestrare. Per questo il problema non si esaurisce nella revisione delle dipendenze: una volta importati, questi package possono lasciare esposizione su workstation di sviluppo, runner CI e artefatti di build anche se il rilascio beta non è mai entrato in produzione.