Пользователям криптовалюты настоятельно рекомендуют проявлять осторожность после атаки на основные библиотеки JavaScript
Крупная атака на цепочку поставок затронула ключевые библиотеки JavaScript, что позволило хакерам внедрить вредоносное ПО, нацеленное на криптовалютные кошельки и транзакции.
Крупнейшая атака на цепочку поставок
Хакеры скомпрометировали широко используемые библиотеки программного обеспечения JavaScript, что стало крупнейшей атакой на цепочку поставок в истории. Внедренный вредоносный код предназначен для кражи криптовалюты путем замены адресов кошельков и перехвата транзакций.
Взлом аккаунта NPM
Согласно нескольким отчетам, хакеры взломали аккаунт менеджера пакетов Node Package Manager (NPM) известного разработчика и тайно добавили вредоносное ПО в популярные библиотеки JavaScript, используемые миллионами приложений. Зловредный код заменяет или перехватывает адреса криптовалютных кошельков, ставя под угрозу проекты с миллиардами загрузок.
"В настоящее время происходит крупномасштабная атака на цепочку поставок: аккаунт NPM уважаемого разработчика был скомпрометирован," - предупредил главный технический директор Ledger Шарль Гийемет.
"Затронутые пакеты уже были загружены более 1 миллиарда раз, что означает, что вся экосистема JavaScript может быть под угрозой."
Целевые пакеты и риски
Атака нацелилась на такие пакеты, как [названия пакетов], которые являются небольшими утилитами, глубоко интегрированными в деревья зависимостей бесчисленных проектов. Вместе эти библиотеки загружаются более миллиарда раз каждую неделю, что означает, что даже разработчики, которые никогда не устанавливали их напрямую, могут быть подвержены риску.
NPM и крипто-клипперы
NPM — это как магазин приложений для разработчиков, центральная библиотека, где они делятся и загружают небольшие пакеты кода для создания проектов на JavaScript. Похоже, что злоумышленники внедрили крипто-клиппер — тип вредоносного ПО, который тихо заменяет адреса кошельков во время транзакций, чтобы перенаправить средства.
Исследователи безопасности предупредили, что пользователи, полагающиеся на программные кошельки, могут быть особенно уязвимы, в то время как те, кто подтверждает каждую транзакцию на аппаратном кошельке, защищены. Неясно, пытается ли вредоносное ПО также украсть сид-фразы напрямую.
Заключение
Это развивающаяся история, и дополнительная информация будет добавлена по мере ее поступления.