CTO spoločnosti Ledger varuje pred rozsiahlym útokom na dodávateľský reťazec NPM; vyzýva na kontrolu adries

‘Potenciálne všetky reťazce’: CTO spoločnosti Ledger varuje po hacknutí účtu vývojára NPM

Guillemet zo spoločnosti Ledger povedal na X, že účet renomovaného vývojára na NPM bol kompromitovaný a že zasiahnuté balíčky boli stiahnuté viac ako 1 miliardukrát, čo vyvoláva obavy z vystavenia pre vývojárov.

“Prebieha rozsiahly útok na dodávateľský reťazec … celý ekosystém JavaScriptu môže byť ohrozený,” napísal na X, a dodal, že škodlivý kód “ticho vymieňa krypto adresy za pochodu na krádež financií.”

Odporučil ľuďom, ktorí nepoužívajú hardvérovú peňaženku, aby sa zatiaľ zdržali onchain transakcií, a vyzval všetkých používateľov, aby pred podpisovaním skontrolovali podrobnosti transakcií. Povedal, že zatiaľ nie je jasné, či útočník kradne seed frázy zo softvérových peňaženiek.

“Pre používateľov Ledger alebo iných hardvérových peňaženiek s jasným podpisovaním nie ste ohrození,” dodal Guillemet a zdôraznil, že jasné podpisovanie a manuálne overovanie chránia pred malvérom na výmenu adries.

Samostatné bezpečnostné stránky taktiež informovali o prebiehajúcom kompromitovaní účtov NPM, ktoré ovplyvňujú široko používané balíčky, pričom niektorí opisujú túto kampaň ako jednu z najväčších svojho druhu doposiaľ. Guillemet povedal, že dopad môže zasiahnuť “potenciálne všetky reťazce.”