Vývojáři jazyka Rust varovali před nalezením balíčků finch-rust, sha-rust, evm-units a uniswap-utils v repozitáři crates.io, které obsahují škodlivý kód.
Balíček evm-units obsahoval kód pro stahování škodlivých komponent zaměřených na krádež kryptoměny. Škodlivý balíček byl zveřejněn v dubnu 2025 a byl stažen 7257krát. Balíček uniswap-utils byl také zveřejněn v dubnu, byl stažen 7441krát a používal evm-units jako závislost. Škodlivý kód byl aktivován při volání funkce get_evm_version() a vedl k stažení externího kódu z odkazu "https://download[.]videotalks[.]xyz/gui/6dad3/...". V Linuxu a macOS byl stažen a spuštěn skript init, zatímco ve Windows to byl init.ps1.
Balíček sha-rust byl zveřejněn v katalogu 20. listopadu, byl stažen 153krát a obsahoval kód pro vyhledávání a odesílání na externí server důvěrných údajů. Balíček finch-rust obsahoval původní kód z balíčku finch, do kterého byla přidána funkce "sha_rust::from_str()", jejímž vykonáním se aktivoval obfuskovaný zpracovatel, který odesílal informace o systému, proměnné prostředí a obsah souborů config.toml, id.json a souborů s příponou ".env" (například production.env, staging.env a dev.env s přístupovými tokeny) na server "https://rust-docs-build[.]vercel[.]app/api/v1".
25. listopadu byl na crates.io také zveřejněn balíček finch-rust, který používá sha-rust jako závislost a byl vytvořen pro typosquattingový útok na uživatele legitimního balíčku finch, doufaje, že si uživatel nevšimne rozdílu v názvu, když balíček najde přes vyhledávání nebo vybere ze seznamu.
Zdroj: opennet.ru
