Le 8 septembre 2025, dix-huit paquets du registre npm, cumulant plus de deux milliards de téléchargements hebdomadaires, ont été secrètement empoisonnés pour y glisser un crypto-clipper, dans ce qui est désormais référencé sous la désignation CVE-2025-31842 et surnommé « Operation CryptoClipper ». BrokerDefense avait documenté l’attaque dès le 10 septembre 2025, moins de douze heures après le déclenchement de l’alerte : ce texte en constitue la mise à jour approfondie, enrichie de l’analyse technique et juridique recueillie depuis lors. Rappelons que l’Autorité des marchés financiers publie régulièrement ses listes noires et mises en garde contre les sites frauduleux, une ressource à consulter avant tout engagement dans l’univers des cryptomonnaies.
Dernière mise à jour : 22/08/2026
Sommaire
Une chaîne d’approvisionnement JavaScript ciblée à grande échelle
Dix-huit bibliothèques JavaScript parmi les plus téléchargées du registre npm : voilà la surface d’attaque que les opérateurs de CVE-2025-31842 sont parvenus à contaminer en un temps record. Chaque semaine, ces paquets étaient réclamés plus de deux milliards de fois par des développeurs, des entreprises et des outils d’intégration continue dispersés sur toute la planète. Ce n’est pas un logiciel marginal qui a été visé, c’est le cœur même de la chaîne d’approvisionnement du développement web moderne.
La singularité de l’opération réside dans son architecture : plutôt que de construire un faux site ou une fausse application, les attaquants ont infecté des briques logicielles légitimes, déjà présentes dans des millions d’environnements de production. Le code malveillant se trouvait ainsi livré avec la confiance accordée à des bibliothèques reconnues, sans que quiconque ne pense à en vérifier l’intégrité. Pourtant, malgré ce vecteur d’une portée exceptionnelle, le butin final s’est révélé dérisoire : environ cinq cents dollars détournés, un chiffre que la presse spécialisée a qualifié de « plus gros ratage de l’histoire des piratages informatiques ». Plus récemment, la fausse plateforme d’échange Workor a illustré une autre forme de prédation sur les détenteurs de cryptomonnaies, rappelant que les modes opératoires varient mais que la cible reste constante.
Un compte de développeur compromis par un courriel d’hameçonnage
Tout a commencé par un message électronique soigneusement conçu pour ressembler à une communication officielle du support npm. Le destinataire, connu sous le pseudonyme « Qix », était l’auteur de bibliothèques JavaScript parmi les plus utilisées du registre. Une fois son compte compromis, les attaquants disposaient d’une clé ouvrant des millions de portes : ils ont modifié les paquets publiés, y insèrant leur charge utile malveillante sans éveiller le moindre soupçon immédiat.
Ce schéma illustre un principe que les enquêtes en sécurité informatique confirment invariablement : un seul maillon faible dans une chaîne de confiance suffit à compromettre l’ensemble de l’édifice. La robustesse technique des systèmes en aval importe peu si l’identité de la personne autorisée à les modifier peut être usurpée par un courriel habile. Le hameçonnage par courriel n’est pas une technique nouvelle, loin de là. BrokerDefense l’a récemment documenté dans un contexte très différent, à travers l’analyse des faux courriels de la DGFiP : la mécanique de manipulation reste identique, seul l’habillage change. Face à n’importe quel message réclamant une action urgente sur un compte sensible, la prudence doit primer sur la réactivité.
Pour comprendre les recours des victimes de ce type de détournement, Maître Anne Bernard-Dussaulx, avocate au barreau de Paris, répond dans la vidéo ci-dessous. Retrouvez sa page de présentation pour en savoir plus sur son parcours et ses domaines d’intervention.
Le crypto-clipper : des adresses de portefeuille substituées en silence
Un crypto-clipper est un logiciel malveillant d’une discrétion redoutable : sa fonction unique consiste à surveiller le presse-papiers de l’appareil infecté, à détecter toute adresse de portefeuille de cryptomonnaie qui y transite, puis à la remplacer par une adresse contrôlée par les attaquants. La victime colle ce qu’elle croit être l’adresse du destinataire légitime ; ce qu’elle envoie réellement part ailleurs, vers un portefeuille qu’elle ne contrôle pas.
Dans le cas d’Operation CryptoClipper, les concepteurs ont ajouté une couche de sophistication particulièrement perverse : les adresses de substitution étaient générées via un algorithme de distance de Levenshtein, de sorte qu’elles ressemblaient presque parfaitement aux adresses d’origine. Quelques caractères seulement différaient, souvent au milieu d’une longue chaîne alphanumérique, là où le regard humain décroche naturellement. Une vérification distraite ne révélait rien d’anormal. Ce mécanisme transforme chaque copier-coller en transaction potentiellement détournée, sans avertissement, sans message d’erreur, sans aucun signal visible.
Les canaux d’infection sont multiples : faux logiciels téléchargés depuis des sources non officielles, extensions de navigateur malveillantes, et, comme ici, paquets open source compromis au sein d’une chaîne de dépendances de confiance. La dangerosité tient précisément à cette invisibilité : entre le moment où l’adresse est copiée et celui où la transaction est confirmée sur la blockchain, aucune alerte ne s’interpose.
Une riposte rapide pour un butin dérisoire
La détection a été rapide. Dès le 8 septembre 2025, l’attaque a été identifiée et les paquets compromis ont été retirés du registre npm dans un délai très court. La CVE-2025-31842 a été officiellement enregistrée, permettant aux équipes de sécurité du monde entier de patcher leurs environnements et de vérifier leurs historiques de dépendances. Malgré l’ampleur colossale de la surface exposée, deux milliards de téléchargements hebdomadaires, les attaquants n’ont détourné qu’environ cinq cents dollars : la fenêtre d’exploitation s’est refermée avant qu’ils puissent en tirer un profit significatif.
Cette issue favorable ne doit pas masquer la gravité structurelle de la menace. Pour les utilisateurs de cryptomonnaies, plusieurs réflexes s’imposent. En cas de suspicion ou de constatation d’un détournement, il faut d’abord conserver intégralement les historiques de transactions blockchain ainsi que les adresses exactes utilisées lors des envois : ces éléments constituent des preuves techniques irremplaçables pour toute procédure. Il faut ensuite s’astreindre à vérifier chaque adresse de réception caractère par caractère, en comparant visuellement la chaîne complète avant toute validation, sans s’en remettre à un simple coup d’œil sur les premiers et derniers caractères. Enfin, si des fonds ont été détournés, déposer une plainte auprès des autorités compétentes reste une étape indispensable. Pour connaître toutes les étapes, consultez notre guide complet sur la procédure pénale.
FAQ : comment se protéger d’un crypto-clipper ?
Oui, et c’est précisément ce qui rend ce type de logiciel malveillant aussi dangereux. Le crypto-clipper n’affiche aucun message, ne ralentit pas votre machine et ne déclenche aucune alerte visible : il agit en silence au niveau du presse-papiers, en substituant l’adresse que vous venez de copier par une adresse contrôlée par les attaquants. Dans le cas d’Operation CryptoClipper, les adresses de remplacement étaient construites pour ressembler presque parfaitement aux adresses d’origine, grâce à un algorithme de distance de Levenshtein. Seule une vérification caractère par caractère, avant chaque validation de transaction, permet de détecter la fraude.
La règle la plus efficace consiste à comparer visuellement la totalité de la chaîne de caractères, et non seulement ses premiers et derniers symboles. Après avoir collé une adresse dans votre interface d’envoi, recopiez-la depuis sa source d’origine et confrontez les deux versions côte à côte. Si possible, utilisez la fonctionnalité de scan de QR code fournie directement par le destinataire plutôt que le copier-coller. Sur les portefeuilles matériels, vérifiez l’adresse affichée sur l’écran du dispositif lui-même, indépendamment de ce que montre votre ordinateur. Enfin, maintenez vos environnements de développement et vos dépendances logicielles à jour pour limiter l’exposition aux paquets compromis.
La première priorité est de rassembler les preuves : conservez l’intégralité de l’historique de transactions sur la blockchain, notez les adresses exactes impliquées (celle que vous pensiez utiliser et celle vers laquelle les fonds ont réellement transité), et gardez une trace de l’environnement logiciel utilisé au moment de la transaction. Signalez l’incident à la plateforme d’échange concernée si elle est intermédiaire, et déposez une plainte auprès des autorités compétentes. En France, vous pouvez saisir la police ou la gendarmerie, ou contacter directement le parquet spécialisé. Consultez notre guide complet sur la procédure pénale pour suivre les étapes dans le bon ordre. Un cabinet spécialisé peut vous accompagner pour structurer votre dossier et identifier les recours disponibles.
L’attaque NPM au crypto-clipper de septembre 2025 a démontré qu’une contamination de la chaîne d’approvisionnement logicielle peut exposer des millions d’utilisateurs à des détournements de fonds en cryptomonnaies, sans que ces derniers en perçoivent le moindre signe. Les victimes de ce type d’opération se retrouvent dans une situation particulièrement difficile : les transactions blockchain sont irréversibles, les adresses de destination contrôlées par les escrocs sont quasi impossibles à distinguer des adresses légitimes à l’œil nu, et la preuve du détournement requiert une analyse technique précise des journaux et des historiques. Deux éléments spécifiques à cette affaire méritent d’être retenus : d’une part, la fenêtre d’infection a pu toucher des environnements qui n’ont pas encore audité leurs dépendances npm de l’époque ; d’autre part, des adresses de substitution quasi identiques aux adresses légitimes rendent la reconstruction judiciaire des faits particulièrement exigeante. Avant tout engagement dans un projet lié aux cryptomonnaies, qu’il s’agisse d’une plateforme, d’un outil ou d’une bibliothèque, une évaluation préalable par BrokerDefense permet de mesurer les risques réels et d’éviter de s’exposer inutilement.
Article réécrit le 22/08/2026
