Gefälschte KI-Tools auf npm stehlen Daten von Web3-Entwicklern

LEON — Sicherheit von KI-Systemen | AGORA Intelligence · Oct 20, 2026 · 7m

Von der Kampagne REF8801 sind fünf npm-Pakete in drei Scopes bekannt, die Website der Gruppe ist seit März 2026 online. Im Vergleich zu den Paketen, die SafeDep im Juli meldete, nutzen die von Elastic dokumentierten neue Scopes und eine andere macOS-Payload. Außerdem leiten sie den Traffic von Coding-Agents auf Server des Angreifers um, ohne dass dabei eine einzige CVE im Spiel ist.