Ledgerin teknologiajohtaja varoittaa laajamittaisesta NPM-toimitusketjun hyökkäyksestä; kehottaa tarkistamaan osoitteet

‘Mahdollisesti Kaikki Ketjut’: Ledgerin CTO Varoittaa NPM-kehittäjän Tilin Hakkeroinnin Jälkeen

Ledgerin Guillemet sanoi X:ssä, että arvostetun kehittäjän NPM-tili oli murrettu ja että vaikutuksille alttiita paketteja on ladattu yli miljardi kertaa, mikä nostaa huolta kehittäjien kohdalla.

“On käynnissä laajamittainen toimitusketjuhyökkäys … koko JavaScript-ekosysteemi voi olla vaarassa,” hän kirjoitti X:ssä, lisäten, että haitallinen koodi “vaihtaa huomaamattomasti kryptodata-osoitteet lennossa varastatakseen varoja.”

Hän neuvoi ihmisiä, jotka eivät käytä laitteistolompakkoa, pidättäytymään tekemästä ketjutapahtumia toistaiseksi ja kehotti kaikkia käyttäjiä tarkistamaan tapahtumatiedot ennen allekirjoittamista. Hän sanoi, että ei ole selvää, varastaako hyökkääjä siemenlauseita ohjelmistolompakoista.

“Ledgerin tai muiden laitteistolompakkojen käyttäjille, jotka käyttävät selkeää allekirjoitusta, te ette ole vaarassa,” Guillemet lisäsi, korostaen, että selkeä allekirjoittaminen ja manuaalinen tarkistus suojaavat osoitteen vaihdolta haittaohjelmilta.

Erilliset tietoturvakanavat raportoivat myös meneillään olevista NPM-tilien kompromisseista, jotka vaikuttavat laajalti käytettyihin paketteihin, ja jotkut kuvailevat kampanjaa yhtenä suurimmista laatuaan tähän mennessä. Guillemet sanoi, että vaikutus voi ulottua “mahdollisesti kaikkiin ketjuihin.”