ការសម្របសម្រួលនៃឃ្លាំង Ledger NPM បាននាំឱ្យមានការបញ្ចូលការផ្លាស់ប្តូរដែលមានគំនិតអាក្រក់

ក្រុមហ៊ុន Ledger ដែលផលិត hardware crypto wallets ដែលមានឈ្មោះដូចគ្នា បានបង្ហាញព័ត៌មានអំពីការសម្របសម្រួលនៃ NPM repository របស់ខ្លួន ដែលនាំទៅដល់ការដាក់បញ្ចូលកូដព្យាបាទទៅក្នុងបណ្ណាល័យ Ledger Connect Kit JavaScript ដែលប្រើដើម្បីផ្តល់ការចូលប្រើកម្មវិធីបណ្តាញវិមជ្ឈការទៅ កាបូបលុយគ្រីបតូ។ អ្នកវាយប្រហារបានគ្រប់គ្រងការបញ្ចេញកំណែប្រឌិតនៃ Connect Kit ដែលក្នុងនោះលេខកូដត្រូវបានបង្កប់ដែលជំនួសប្រតិបត្តិការក្លែងបន្លំសម្រាប់ការផ្ទេរប្រាក់ពីកាបូបលុយគ្រីបតូរបស់ជនរងគ្រោះ។

លេខកូដព្យាបាទត្រូវបានចែកចាយនៅក្នុងកំណែ Connect Kit 1.1.5, 1.1.6 និង 1.1.7 ហើយត្រូវបានដកចេញនៅក្នុងការអាប់ដេតស្របច្បាប់ 1.1.8។ ការចូលទៅកាន់ឃ្លាំង NPM ត្រូវបានទទួលដោយអ្នកវាយប្រហារកំឡុងពេលការវាយប្រហារដោយបន្លំ ដែលជាលទ្ធផលដែលពួកគេអាចកំណត់ប៉ារ៉ាម៉ែត្រគណនីរបស់អតីតបុគ្គលិក Ledger ម្នាក់។ ហេតុផលដែលបានលើកឡើងពីភាពជោគជ័យនៃការវាយប្រហារ រួមមានសមត្ថភាពក្នុងការបោះពុម្ពផ្សាយដោយមិនឆ្លងកាត់ការផ្ទៀងផ្ទាត់កត្តាពីរ ការទុកសិទ្ធិចូលដំណើរការទៅកាន់បុគ្គលិកដែលត្រូវបានបណ្តេញចេញ និងការប្រើប្រាស់បណ្តាញចែកចាយមាតិកាដែលមិនអនុញ្ញាតឱ្យចាក់សោចូលទៅក្នុងកំណែដែលបានផ្ទៀងផ្ទាត់ជាក់លាក់នៃបណ្ណាល័យ (កម្មវិធីតែងតែ បានប្រើកំណែចុងក្រោយបំផុត) ។

មុនពេលការសម្របសម្រួលត្រូវបានរកឃើញ ហើយលេខកូដព្យាបាទត្រូវបានដកចេញ ការចេញផ្សាយបណ្ណាល័យក្លែងក្លាយអាចទាញយកបានរយៈពេល 5 ម៉ោង ប៉ុន្តែយោងទៅតាម Ledger ពេលវេលាពិតប្រាកដនៃការវាយប្រហារដកប្រាក់ត្រូវបានកំណត់ត្រឹមចន្លោះពេល 610 ម៉ោង។ ដើម្បីប្តូរទិសមូលនិធិទៅកាន់កាបូបរបស់ជនរងគ្រោះ ការវាយប្រហារពាក់ព័ន្ធនឹងគម្រោងក្លែងក្លាយនៅក្នុងសេវាកម្ម WalletConnect ដែលបច្ចុប្បន្នត្រូវបានរារាំង។ យោងតាមអ្នកស្រាវជ្រាវឯករាជ្យ ZachXBT ក្នុងអំឡុងពេលនៃការវាយប្រហារ អ្នកវាយប្រហារអាចលួចយ៉ាងហោចណាស់ $850 ពីកាបូបលុយគ្រីបរបស់ជនរងគ្រោះ។ យោងតាមសេវា Revoke.cash ការខាតបង់ដោយអ្នកប្រើប្រាស់គេហទំព័រផ្សេងៗដែលបានប្រើ Connect Kit មានចំនួនជាង XNUMX ពាន់ដុល្លារ។

បញ្ហានេះប៉ះពាល់តែអ្នកប្រើប្រាស់កម្មវិធីបណ្តាញវិមជ្ឈការភាគីទីបី (DApps) ដោយប្រើបណ្ណាល័យ Ledger Connect Kit ហើយមិនប៉ះពាល់ដល់ភាពសុចរិតនៃកាបូបផ្នែករឹងរបស់ Ledger ឬកម្មវិធី Ledger Live ទេ។ ដើម្បីកាត់បន្ថយលទ្ធភាពនៃការវាយប្រហារបែបនេះតាមរយៈអ្នកអភិវឌ្ឍន៍ដែលសម្របសម្រួល គណនីរបស់អ្នកចូលរួមគម្រោង Connect Kit នៅក្នុង NPM ត្រូវបានប្តូរទៅជារបៀបបានតែអាន ហើយការបង្ហោះដោយផ្ទាល់នូវកញ្ចប់ NPM ដោយអ្នកអភិវឌ្ឍន៍សណ្ឋាគារត្រូវបានហាមឃាត់។ គ្រាប់ចុចទាំងអស់សម្រាប់ការបោះពុម្ពផ្សាយនៅក្នុងឃ្លាំង GitHub ក៏ត្រូវបានធ្វើបច្ចុប្បន្នភាពផងដែរ។

ប្រភព: opennet.ru