Технічний директор Ledger попереджає про масштабну атаку на ланцюг постачання NPM; закликає перевіряти адреси

‘Можливо, всі ланцюжки’: Технічний директор Ledger застерігає після злому облікового запису розробника NPM

Ledger‘s Гійомет заявив на X, що обліковий запис авторитетного розробника NPM був зламаний і що постраждалі пакети були завантажені понад 1 мільярд разів, що викликає занепокоєння щодо безпеки для розробників.

“Існує масштабна атака на ланцюжок постачання … вся екосистема JavaScript може бути під загрозою,” він написав на X, додавши, що шкідливий код “тихо замінює крипто-адреси на льоту для викрадення коштів.”

Він порадив людям, які не використовують апаратний гаманець, утриматися від здійснення транзакцій в ланцюгу на даний момент і закликав всіх користувачів перевіряти деталі транзакцій перед підписанням. Він сказав, що залишається незрозумілим, чи зловмисник краде фрази відновлення з програмних гаманців.

“Для користувачів Ledger або інших апаратних гаманців з чітким підписом, ви не в небезпеці,” додав Гійомет, підкреслюючи, що чіткий підпис і ручна перевірка захищають від шкідливих програм заміни адрес.

Окремі організації з безпеки також повідомили про триваючі компрометації облікових записів NPM, що торкаються широко використовуваних пакетів, і деякі описують кампанію як одну з найбільших у своєму роді на сьогодні. Гійомет сказав, що вплив може охопити “можливо, всі ланцюжки.”