Útok na dodavatelský řetězec necílí přímo na oběť, ale na nástroj, kterému oběť důvěřuje: knihovnu, rozšíření prohlížeče, aktualizaci aplikace nebo vývojářskou závislost. Útočník podstrčí škodlivý kód do místa, odkud se rozšíří k mnoha uživatelům najednou. V kryptu to bývá podvržená verze peněženky, napadený balíček, ze kterého se staví aplikace, nebo falešné rozšíření, které mění cílové adresy. Obrana je hlavně na straně vývojářů a projektů, ale uživatel si pomůže tím, že software instaluje jen z ověřených zdrojů, hlídá pravost stránek a u větších částek spoléhá na hardwarovou peněženku s čitelným podpisem, kterou nenapadne pouhý škodlivý web.