Dépendances, paquets, systèmes de build et provenance matérielle.
12 éléments sur l'ensemble des numéros
Binance a révélé un incident touchant environ 6,3 milliards de dollars d'actifs, dont près de 3 milliards gelés on-chain par Tether, Circle et Arbitrum. Le 1er novembre, le FBI a attribué le vol au groupe nord-coréen TraderTraitor (suivi Jade Sleet, UNC4899). Les attaquants ont compromis le portable d'un ingénieur DevOps, atteint un conteneur de service, pré-signé des retraits consécutifs et déplacé les fonds en 20 minutes environ.
Cloudflare a détaillé huit certificats d'AC intermédiaires eMudhra dont les clés privées étaient de petits entiers (4, 56, 66 et autres), permettant de retrouver la clé de signature et de forger un certificat pour tout domaine. Ces intermédiaires chaînent à des racines de confiance Mozilla, Microsoft, Apple et Chrome. Environ 22 000 tentatives de handshake avec les clés faibles, et un certificat contrefait moins d'une heure après le rapport. Une semaine après, plus de la moitié des sondes l'acceptaient.
Une copie altérée de l'extension Claude Code d'Anthropic (version 2.1.313), publiée sur la marketplace Cursor, est restée en ligne environ 11 heures le 29 octobre, touchant jusqu'à 5 000 développeurs. Elle collectait nom d'utilisateur, e-mail Git et IP publique, et tentait un tunnel SSH inverse et une persistance sous Windows, macOS et Linux. Anthropic dit qu'un acteur malveillant a publié via un accès marketplace une copie non produite par elle.
L'hébergeur Northflank a révélé le 30 octobre une brèche : variables d'environnement stockées déchiffrées, clés d'API d'IA de clients volées et détournées. Il a demandé de considérer toutes ces variables comme compromises et de faire tourner chaque clé, mot de passe de base de données, jeton et secret. L'incident suit des brèches Railway dans le mois.
GitHub a lancé en préversion un pare-feu de paquets npm qui inspecte les téléchargements à l'installation et bloque les paquets suspects avant installation, la même semaine que les incidents Northflank et Claude Code.
Cloudflare a decouvert huit certificats d'AC intermediaires eMudhra aux cles privees catastrophiquement faibles : quiconque pouvait retrouver la cle de signature et forger un certificat pour n'importe quel domaine. Ces intermediaires remontent a des racines de confiance Mozilla, Microsoft, Apple et Chrome. Cloudflare a attenue les 19 et 20 octobre ; eMudhra quittera le marche mondial du TLS.
Un LiteLLM 1.107.0 malveillant a ete publie sur PyPI le 21 octobre : voleur d'identifiants et porte derobee persistante pilotee via GitHub. Avec des identifiants GitHub CLI voles, les attaquants ont contourne la protection de branche et compile depuis un depot sosie, avant retrait par PyPI. Le meme jour, Railway a divulgue un acces non autorise a des systemes contenant des variables d'environnement clients, certaines dechiffrees ; faites tout tourner.
Le billet d'un mainteneur annoncant avoir archive tous ses depots de gems Ruby a recueilli environ 526 points et 514 commentaires sur Hacker News autour du 19 octobre, ravivant les inquietudes sur la perennite de l'open source.
OpenCode a révélé la compromission d'un système hérité en démantèlement, exposant les clés d'API tierces OpenAI, Anthropic et Google stockées par les utilisateurs dans OpenCode Console. Environ 1,4 pour cent des utilisateurs de Console sont touchés ; Anthropic a révoqué les clés Claude concernées. Le CLI open source n'était pas compromis.
Ledger a confirmé un implant matériel non autorisé dans des portefeuilles Ledger X distribués par un revendeur en Malaisie. L'implant, un microcontrôleur avec eSIM LTE, exfiltrait les phrases de récupération captées depuis l'écran et les boutons. Volume qualifié de limité, sans montants de vol communiqués.
Un ticket GitHub ouvert le 12 octobre signale que le Codex CLI installe par défaut un démon d'arrière-plan persistant et auto-actualisé, soulevant des inquiétudes sur le consentement, la mise à jour automatique et un processus toujours actif.
Un billet de GitButler soutenant que le passage prévu de Git 3.0 à SHA-256 par défaut casserait les références SHA-1 existantes pour un bénéfice limité a recueilli 583 points et plus de 500 commentaires le 1er octobre.
