Ledger-CTO Charles Guillemet warnte am Montag, dass ein groß angelegter Software-Supply-Chain-Angriff im Gange ist, der NPM-Pakete betrifft, die weltweit im JavaScript-Ökosystem verwendet werden.
Ledger-CTO warnt vor großflächigem NPM-Lieferkettenangriff; drängt auf Überprüfung der Adressen
GESCHRIEBEN VON
TEILEN
‘Potentiell alle Ketten’: Ledger-CTO warnt nach Hack des NPM-Entwicklerkontos
Ledger‘s Guillemet sagte auf X, dass das NPM-Konto eines renommierten Entwicklers kompromittiert wurde und dass die betroffenen Pakete mehr als 1 Milliarde Mal heruntergeladen wurden, was Besorgnis über die Gefährdung der Entwickler aufwirft.
„Es gibt einen groß angelegten Supply-Chain-Angriff im Gange … das gesamte JavaScript-Ökosystem könnte gefährdet sein“, schrieb er auf X und fügte hinzu, dass der bösartige Code „stillschweigend Krypto-Adressen im laufenden Betrieb austauscht, um Gelder zu stehlen.“
Er riet Personen, die keine Hardware-Wallet verwenden, derzeit keine Onchain-Transaktionen durchzuführen, und forderte alle Nutzer auf, Transaktionsdetails vor der Unterzeichnung zu überprüfen. Er sagte, es sei unklar, ob der Angreifer Seed-Phrasen von Software-Wallets stiehlt.
„Für Benutzer von Ledger oder anderen Hardware-Wallets mit klarer Unterzeichnung besteht kein Risiko“, fügte Guillemet hinzu und betonte, dass klare Unterzeichnung und manuelle Überprüfung gegen Adress-Tausch-Malware schützen.
Separate Sicherheitsquellen berichteten ebenfalls über laufende Kompromittierungen von NPM-Konten, die weit verbreitete Pakete betreffen, wobei einige die Kampagne als eine der größten ihrer Art bis heute beschreiben. Guillemet sagte, die Auswirkungen könnten „potenziell alle Ketten“ umfassen.
