حزمة codexui-android المفخخة على npm تسرق رموز OpenAI Codex

من نفّذها

الجهة: مؤلف حزمة codexui-android (هوية غير معلنة)

الإسناد: اكتشفتها Aikido Security؛ وادعى المؤلف فقدان الوصول إلى npm ثم قال إنه يحقق؛ ولا نسبة من جهات إنفاذ القانون

الدافع: سرقة رموز تحديث OpenAI Codex للوصول الدائم إلى الحسابات

كيف حدثت

أسلوب الهجوم: حزمة واجهة ويب عاملة لـ Codex تجلب كوداً خبيثاً أثناء التشغيل وتقرأ ~/.codex/auth.json وترمّزه بـ XOR وترسله عبر POST إلى نقطة نهاية Sentry مزيفة على sentry.anyclaw.store

السبب الجذري: خزّن Codex رموز تحديث غير منتهية الصلاحية في ملف بنص صريح يمكن لأي حزمة مثبتة قراءته، واختلفت محتويات حزمة npm عن الكود المصدري العام على GitHub

التسلسل الزمني

1. مايو 2026الحزمة تسجل نحو 27 إلى 29 ألف تنزيل أسبوعي؛ والتسريب يستمر نحو شهر
2. 2 يونيو 2026Aikido Security تفصح علناً عن سارق الرموز
3. 4 يونيو 2026اكتشاف تطبيقات Android مصاحبة تعيد توجيه بيانات اعتماد Codex إلى نقطة النهاية نفسها

الاستجابة

أزال المؤلف الكود الخبيث بعد الاستفسار؛ ونصح الباحثون بإلغاء رموز Codex وتدويرها وحظر نطاق التسريب

الحالة الراهنة: تم الاحتواء