Hackers misbruiken Claude en Cursor om cryptowallets leeg te halen

Een nieuwe malwarecampagne met de naam ‘TrapDoor’ vormt een serieuze bedreiging voor Een nieuwe malwarecampagne genaamd TrapDoor richt zich gericht op ontwikkelaars in de crypto- en AI-sector. Cybersecuritybedrijf Socket waarschuwt dat de aanval cryptowallets, wachtwoorden, cloudaccounts en API-sleutels probeert te stelen via softwarepakketten die dagelijks door miljoenen programmeurs worden gebruikt.

Inmiddels zijn tientallen schadelijke pakketten en honderden varianten ontdekt. De campagne valt vooral op door één opmerkelijk element: TrapDoor probeert ook AI-codeassistenten zoals Claude en Cursor te misleiden om wallets uit te lezen.

Hoe TrapDoor zich verspreidt

TrapDoor maakt gebruik van een zogenoemde supply chain-aanval. Daarbij verstoppen hackers malware in softwarepakketten die programmeurs gebruiken tijdens het bouwen van applicaties.

De schadelijke software werd aangetroffen op drie grote ontwikkelaarsplatformen: npm voor JavaScript en webontwikkeling, PyPI voor Python en AI-toepassingen, en Crates voor de programmeertaal Rust. De pakketten dragen namen die verwijzen naar AI-software, blockchainontwikkeling of beveiligingstools. Daardoor lijken ze op legitieme ontwikkelaarstools en is besmetting moeilijk te herkennen.

Wat de malware steelt

Eenmaal geïnstalleerd zoekt TrapDoor naar cryptowallets, cloudaccounts, API-sleutels, GitHub-tokens en SSH-sleutels. Populaire wallets zoals MetaMask, Coinbase Wallet, Binance Wallet, Solana, Sui en Aptos staan specifiek op de lijst van doelwitten. Daarnaast verzamelt de malware gegevens uit de Brave-browser.

Voor crypto-ontwikkelaars is dat een directe bedreiging. Een gestolen privésleutel of seed phrase betekent vaak direct verlies van alle tegoeden in de wallet.

AI-tools ingezet als wapen

Het opvallendste onderdeel van de campagne is hoe TrapDoor AI-codeassistenten misbruikt. Volgens Ahmad Nassri, technisch directeur van Socket, bevat de malware verborgen instructies die AI-tools zoals Claude en Cursor proberen te misleiden. De malware vraagt deze assistenten om een nep-beveiligingsscan uit te voeren, waardoor gevoelige informatie alsnog uitlekt.

Daarnaast wijst de opzet van de campagne erop dat de aanvallers zelf ook AI inzetten om nieuwe malwarevarianten sneller te genereren. Dat maakt TrapDoor lastiger te bestrijden, omdat traditionele beveiligingstools moeite hebben om snel evoluerende code te herkennen.

GitHub speelde rol bij verspreiding

De onderzoekers stellen dat GitHub is gebruikt om de schadelijke pakketten te verspreiden. Hackers maakten repositories aan met automatisch gegenereerde documentatie, ontwikkelaarstools en deels werkende malwarecode.

Die waarschuwing komt kort nadat GitHub zelf melding maakte van een beveiligingsincident, waarbij hackers via het gehackte apparaat van een medewerker ongeautoriseerde toegang kregen tot interne repositories.

Wat ontwikkelaars kunnen doen

Cybercriminelen richten zich steeds vaker op softwareontwikkelaars in de crypto- en AI-industrie. Die groep beschikt namelijk vaak over waardevolle gegevens zoals wallets, serversleutels en cloudtoegang.

Beveiligingsexperts adviseren om softwarepakketten altijd zorgvuldig te controleren voordat ze worden geïnstalleerd. Daarnaast is het verstandig om uitsluitend pakketten van geverifieerde bronnen te gebruiken, verdachte software direct te verwijderen en cryptowallets met grote saldo’s bij voorkeur op een hardware wallet aan te houden.