Компрометирането на хранилището на Ledger NPM доведе до вмъкване на злонамерени промени

Компанията Ledger, която произвежда едноименни хардуерни крипто портфейли, разкри информация за компрометирането на своето NPM хранилище, което доведе до въвеждането на злонамерен код в JavaScript библиотеката Ledger Connect Kit, използвана за предоставяне на достъп до децентрализирани уеб приложения на крипто портфейли. Нападателите успяха да пуснат фиктивни версии на Connect Kit, в които беше вграден код, който заместваше измамни транзакции за прехвърляне на средства от крипто портфейла на жертвата.

Зловреден код беше разпространен във версии 1.1.5, 1.1.6 и 1.1.7 на Connect Kit и беше премахнат в законната актуализация 1.1.8. Достъпът до хранилището на NPM беше получен от нападателите по време на фишинг атака, в резултат на която те успяха да определят параметрите на акаунта на един от бившите служители на Ledger. Причините, посочени за успеха на атаката, включват възможността да се публикуват издания, без да се преминава през двуфакторно удостоверяване, оставяйки права за достъп на уволнен служител и използване на мрежа за доставка на съдържание, която не позволява заключване в конкретна проверена версия на библиотеката (приложенията винаги използва най-новата версия).

Преди компромисът да бъде открит и злонамереният код да бъде премахнат, фалшивата версия на библиотеката е била достъпна за изтегляне в продължение на 5 часа, но според Ledger действителното време на атаката за изтегляне е ограничено до двучасов интервал. За да пренасочи средства към портфейла на жертвата, атаката включва фалшив проект в услугата WalletConnect, която в момента е блокирана. Според независимия изследовател ZachXBT по време на атаката нападателите са успели да откраднат най-малко $610 хиляди от крипто портфейлите на жертвите. Според услугата Revoke.cash загубите от потребителите на различни сайтове, използващи Connect Kit, възлизат на повече от 850 хиляди долара.

Проблемът засяга само потребителите на децентрализирани уеб приложения на трети страни (DApps), използващи библиотеката Ledger Connect Kit, и не засяга целостта на хардуерните портфейли на Ledger или приложението Ledger Live. За да се намали вероятността от подобни атаки чрез компрометиращи разработчици, акаунтите на участниците в проекта Connect Kit в NPM бяха превключени в режим само за четене и директното публикуване на NPM пакет от разработчиците на хотели беше забранено. Всички ключове за публикуване в хранилището на GitHub също са актуализирани.

Източник: opennet.ru