Sicherheitsexperten haben eine massive Kompromittierung innerhalb des npm-Ökosystems identifiziert, die durch einen als CHAINDROP bezeichneten Wurm verursacht wurde. Die bösartige Software hat über 400 Pakete infiziert und gefährdet damit die Integrität zahlreicher Anwendungen weltweit. Betroffen sind Software-Komponenten, die zusammen kumuliert etwa 2 Milliarden Installationen pro Monat verzeichnen.
Der Angriff nahm seinen Anfang am 4. August 2026 um 09:02 Uhr UTC. Berichten zufolge gelang es Angreifern, den GitHub-Account des Maintainers der populären Bibliothek „keyv“ zu kapern. Über diesen Zugang wurde das Keyv-Repository kompromittiert, was als Ausgangspunkt für die automatisierte Verbreitung des CHAINDROP-Wurms diente. Durch die zentrale Stellung der betroffenen Bibliothek in der Abhängigkeitskette zahlreicher anderer Projekte konnte sich der Schadcode schnell verbreiten.
Ausmaß der Infektion und betroffene Artefakte
Die Reichweite des Vorfalls ist erheblich. Verschiedene Analysen beziffern die Zahl der kompromittierten npm-Pakete auf 430 bis 452. Einzelauswertungen ergaben eine Betroffenheit von 444 Paketen in insgesamt 1.381 Versionen. Andere Berichte sprechen von bis zu 2.265 infizierten Artefakten und über 1.557 bösartigen Versionen, die in die npm-Registry eingeschleust wurden.
Das Gefahrenpotenzial wird durch die enorme Verbreitung der betroffenen Software unterstrichen. Die infizierten Pakete erreichen wöchentlich über 500 Millionen Downloads; auf den Monat gerechnet wird das Volumen auf 1,3 Milliarden bis über 2 Milliarden Downloads geschätzt. Da die bösartigen Versionen direkt über die offizielle Registry verteilt wurden, gelangte der Schadcode unmittelbar in die Entwicklungsumgebungen und Build-Pipelines zahlreicher Unternehmen.
Der Diebstahl von Zugangsdaten durch automatisierte Schadsoftware verdeutlicht, wie riskant die herkömmliche Nutzung von Passwörtern heute ist. Ein kostenloser Report zeigt, wie Sie Ihre Konten durch moderne Verfahren vor Hackern schützen und gleichzeitig den Passwort-Stress beenden. Sicherheits-Alternative zu Passwörtern jetzt gratis entdecken
Technische Merkmale und Diebstahl von Zugangsdaten
Der CHAINDROP-Wurm zeichnet sich durch eine hohe technische Komplexität aus. Er nutzt sogenannte preinstall-Hooks, um bösartigen Code bereits während des Installationsprozesses auszuführen. Dabei ist die Software in der Lage, gängige Sicherheitsmechanismen wie Provenance-Attestierungen zu umgehen, die eigentlich die Herkunft und Integrität von Paketen sicherstellen sollen.
Ein besonderes Merkmal des Wurms ist die Kommunikation mit seiner Steuerungszentrale (Command & Control). Hierfür nutzt CHAINDROP Ethereum-Smart-Contracts, ein Verfahren, das in Fachkreisen als „EtherHiding“ bekannt ist. Dies erschwert die Blockierung der Kommunikation, da die Befehle direkt aus der Blockchain bezogen werden.
Das primäre Ziel des Wurms ist der Diebstahl sensibler Zugangsdaten. Die Schadsoftware scannt infizierte Systeme nach über 300 verschiedenen Mustern ab. Dabei stehen insbesondere Anmeldedaten für folgende Dienste im Fokus:
- KI-Entwicklungstools und Cloud-Plattformen
- GitHub-Accounts und SSH-Schlüssel
- Kubernetes-Konfigurationen und npm-Tokens
- Zahlungsdienstleister
Angesichts von Millionen gehackter Konten pro Quartal wird deutlich, dass herkömmliche Sicherheitsmethoden oft nicht mehr ausreichen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Ihre digitalen Zugänge bei Amazon, Microsoft oder WhatsApp mit einer neuen Technologie gegen Datenklau absichern. Kostenlosen Report zur Konten-Sicherheit anfordern
Zusätzlich zur Datenexfiltration bemüht sich der Wurm um eine dauerhafte Präsenz auf den Opfersystemen. Es wurden Mechanismen zur Persistenz in Entwicklungsumgebungen wie VS Code sowie in Tools wie Claude Code nachgewiesen. Zur weiteren Verbreitung nutzt der Wurm die auf den Systemen gefundenen npm-Tokens, um weitere Pakete zu infizieren oder bösartige Updates hochzuladen.
Empfehlungen für Entwickler und Unternehmen
Derzeit ist kein offizieller Patch verfügbar, der die Auswirkungen einer bereits erfolgten Infektion automatisch behebt. Da der Wurm aktiv Zugangsdaten entwendet und sich über Tokens weiterverbreitet, raten Sicherheitsexperten dringend zu sofortigen Schutzmaßnahmen.
Entwickler sollten sämtliche npm-Tokens rotieren und bestehende Passwörter ändern. Die Aktivierung der Zwei-Faktor-Authentifizierung (2FA) für alle relevanten Accounts wird als essenziell eingestuft, um eine weitere Ausbreitung des Wurms über kompromittierte Konten zu verhindern. Zudem sollten Projektverantwortliche ihre Abhängigkeiten auf ungewöhnliche Versionen oder unautorisierte Updates prüfen, die seit dem 4. August 2026 veröffentlicht wurden.
