Хакери зламали GitHub-акаунт Toptal та опублікували шкідливі npm-пакети

Компанія Toptal, що спеціалізується на фріланс-талантах у сфері розробки, стала жертвою кібератаки, під час якої зловмисники отримали доступ до її GitHub-організації й розмістили 10 шкідливих npm-пакетів із кодом, який краде токени автентифікації GitHub CLI і знищує файли на системах жертв. Загалом пакети було завантажено понад 5 000 разів.

Злам відбувся 20 липня, коли хакери не тільки отримали доступ до GitHub-акаунта Toptal, а й відкрили 73 приватні репозиторії, зокрема популярну бібліотеку Picasso. Упродовж наступних днів зловмисники інжектували шкідливий код у файл package.json, додавши два скрипти: preinstall для крадіжки даних і postinstall для знищення вмісту систем.

Список заражених пакетів охоплює ключові компоненти з екосистеми Toptal, зокрема:

• @toptal/picasso-tailwind

• @toptal/picasso-forms

• @toptal/picasso-typography

Скрипт preinstall відправляв GitHub CLI токени на вебхук зловмисника, після чого postinstall виконував команду знищення всіх файлів (`sudo rm -rf –no-preserve-root /` для Linux або аналогічну для Windows). Платформа Socket повідомила, що 23 липня шкідливі пакети було деактивовано, однак Toptal не оприлюднила офіційну заяву для своїх користувачів.

Toptal — відомий глобальний маркетплейс фахівців у сфері розробки ПЗ, дизайну й фінансів. Компанія активно використовує GitHub та npm для поширення внутрішніх інструментів. Злам, за словами експертів, міг бути здійснений через фішинг, внутрішню загрозу або витік доступів. Проблема ще більш загрозлива, враховуючи, що мова йде про supply-chain атаку, яка здатна вражати сотні сторонніх проєктів, що залежали від заражених пакетів.

Цей інцидент став ще одним тривожним сигналом для open-source спільноти та DevOps-команд: автоматичне оновлення пакетів без ретельної перевірки може мати фатальні наслідки. Уразливість у системі розповсюдження бібліотек, особливо з довірою до великих компаній, створює ідеальні умови для зловмисників. Користувачам рекомендовано негайно відкочуватися до безпечних версій і перевіряти свої системи на ознаки компрометації.