Technický ředitel Ledger Charles Guillemet varoval v pondělí, že probíhá rozsáhlý útok na dodavatelský řetězec softwaru zaměřený na balíčky NPM používané v rámci JavaScript ekosystému po celém světě.
CTO společnosti Ledger varuje před rozsáhlým útokem na dodavatelský řetězec NPM; vyzývá ke kontrole adres.
NAPSAL
SDÍLET
‘Potenciálně všechny řetězce’: Technický ředitel Ledger upozorňuje po hacknutí účtu vývojáře NPM
Ledger‘s Guillemet řekl na X, že byl kompromitován účet důvěryhodného vývojáře na NPM a že postižené balíčky byly staženy více než 1 miliardu krát, což zvyšuje obavy o vystavení riziku pro vývojáře.
„Probíhá rozsáhlý útok na dodavatelský řetězec… celý ekosystém JavaScript může být ohrožen,“ napsal na X, a dodal, že škodlivý kód „tiše mění adresy kryptoměn za letu, aby ukradl prostředky.“
Poradil lidem, kteří nepoužívají hardwarovou peněženku, aby se prozatím zdrželi provádění onchain transakcí, a vyzval všechny uživatele ke kontrole podrobností transakcí před podpisem. Řekl, že není jasné, zda útočník krade klíčová slova ze softwarových peněženek.
„Pro uživatele Ledger nebo jiných hardwarových peněženek s jasným podepisováním nehrozí žádné riziko,“ dodal Guillemet a zdůraznil, že jasné podepisování a manuální ověřování chrání proti malware, který mění adresy.
Oddělené bezpečnostní servery také hlásily probíhající kompromitace účtů NPM ovlivňující široce používané balíčky, přičemž někteří popisují kampaň jako jednu z největších svého druhu do dneška. Guillemet řekl, že dopad by mohl zasáhnout „potenciálně všechny řetězce.“
