Van 'Code Rood' naar 'Niets aan de Hand': Was de NPM Exploit Overhyped?

Een ‘Nothingburger’ Met een Wake-up Call

De eerste berichten over een grootschalige JavaScript Node Package Manager (NPM) aanval op de toeleveringsketen veroorzaakten een korte maar intense paniek binnen de cryptogemeenschap. Enkele uren lang grepen doemdenkers de waarschuwing aan en speculeerden over een wijdverspreide diefstal van gebruikersfondsen. Destijds adviseerde Ledger CTO, Charles Guillemet, gebruikers van softwareportemonnees om on-chain transacties te staken en gebruikers van hardwareportemonnees om elke transactie dubbel te controleren.

Echter, naarmate de uren verstreken, werd de omvang van de aanval duidelijker. Het bleek dat de kwaadaardige code zeer gericht was en dat het aantal getroffen applicaties beperkt was. Prominente projecten zoals Uniswap, Metamask, OKX Wallet en Aave gaven allemaal verklaringen af waarin ze bevestigden dat ze niet waren getroffen.

Het gebrek aan wijdverspreide schade veranderde de aanvankelijke paniek snel in een debat. Sommige opgeluchte cryptogebruikers begonnen de ernst van de oorspronkelijke waarschuwing in twijfel te trekken, waarbij sommigen het nu als alarmistisch en mogelijk zelfs als een indirecte aanval op softwareportemonnees beschouwden. Dit perspectief suggereert dat de waarschuwing, hoewel het een echte kwetsbaarheid benadrukt, mogelijk overdreven was om het gebruik van hardwareportemonnees te promoten.

Hoewel de schade in termen van gestolen crypto sommigen ertoe heeft gebracht de exploit als een “nothingburger” te bestempelen, blijven sommige blockchain-beveiligingsexperts erop aandringen dat het incident als een wake-up call voor alle softwareontwikkelaars zou moeten dienen. Deze experts zijn het erover eens dat het incident het beveiligingsmodel van hardwareportemonnees valideert, maar ze waarschuwen ook dat gebruikers van dergelijke portemonnees nog steeds fondsen kunnen verliezen bij een vergelijkbare aanval onder bepaalde omstandigheden.

Augusto Teixeira, medeoprichter bij Cartesi, illustreerde dit punt door te stellen: “Zelfs gebruikers van hardwareportemonnees zouden door dergelijke aanvallen kunnen worden getroffen. Bijvoorbeeld, verschillende mensen gebruiken hun hardwareportemonnees met hulp van Metamask, zonder de gegevens op het scherm van het apparaat te verifiëren. Dit wordt steeds gebruikelijker naarmate transacties ingewikkelder worden en mensen ze blind ondertekenen. Verifiëren is moeilijk.”

Volgens Teixeira missen hardwareportemonnees belangrijke functies zoals adresboeken of integratie met JSON ABI’s, die gebruikers in staat zouden stellen beter te begrijpen wat ze ondertekenen vanaf het scherm van het apparaat.

Implicaties voor de Industrie en Best Practices

Het NPM-incident heeft vragen opgeroepen over de beveiligingspraktijken die worden gebruikt door ontwikkelaars, pakketbeheerders en organisaties. Sommigen in de crypto-industrie geloven dat het volgen van best practices—zoals collegiale toetsing en niet toestaan dat ontwikkelaars zonder goedkeuring code naar productie pushen—de kans op een dergelijke aanval kan minimaliseren. Daarnaast beweren ze dat ontwikkelaars hun systemen up-to-date moeten houden en het hergebruiken van wachtwoorden moeten vermijden.

Shahaf Bar-Geffen, medeoprichter en CEO van COTI, gelooft dat pakketbeheerders zoals NPM het aanmeldingsproces moeilijker zouden moeten maken voor een potentiële aanvaller. Hij pleit voor een “Critical Package Security Framework,” mogelijk onder toezicht van organen zoals de OpenJS Foundation, “dat sterke authenticatie (2FA, beperkte API-tokens), reproduceerbare builds en jaarlijkse audits door derden kan verplichten voor pakketten die hoge downloaddrempels overschrijden.” Bar-Geffen gelooft dat dit gelaagde verificatiemodel zou helpen best practices te stimuleren en tegelijkertijd kritieke infrastructuur te beschermen.

Om te voorkomen dat je afhankelijk bent van een enkele persoon (die mogelijk belangen heeft) om kwaadaardige activiteiten bloot te leggen, moedigt Carlo Fragni, Solution Architect bij Cartesi, projecten aan om op de hoogte te blijven van kanalen die door onderzoekers worden gebruikt. Hij pleit ook voor “het gebruik van hulpmiddelen voor afhankelijkheidsanalyse en het uitvoeren van due diligence op elke afhankelijkheid wanneer deze wordt bijgewerkt naar een nieuwe versie.”