Хакеры скомпрометировали широко используемые программные флибрации JavaScript в том, что называется крупнейшей атакой цепочки поставок в истории. По сообщениям, инъекционное вредоносное ПО предназначено для кражи криптовалюты путем обмена адресами кошелька и перехвата транзакций.
Согласно нескольким отчетам в понедельник, хакеры ворвались в учетную запись менеджера пакетов узлов (NPM) известного разработчика и тайно добавили вредоносные программы к популярным флибрациям JavaScript, используемых миллионами приложений.
Злоусовеченный код обмен или угоны адреса криптовалюты кошелька, подвергая риску миллиарды загрузок.
Пакеты, предназначенные для нарушения, такие как мелки, полоса-анси и цветовой конверт-небольшие коммунальные услуги, погребенные глубоко в деревьях зависимости бесчисленных проектов. Вместе эти флибрарики загружаются более миллиарда раз в неделю, что означает, что даже разработчики, которые никогда не устанавливали их напрямую, могут быть раскрыты.
NPM похож на App Store для разработчиков – центральную фибликацию, где они делятся и загружают небольшие кодовые пакеты для создания проектов JavaScript.
Атакующие, по-видимому, посадили крипто-клиппер, тип вредоносного ПО, который молча заменяет адреса кошелька во время транзакций для отвлечения средств. Исследователи безопасности предупредили, что пользователи, полагаемые на программные кошельки, могут быть особенно уязвимыми, в то время как те, кто подтверждает каждую транзакцию на аппаратном кошельке, защищены.
Остается неясным, пытается ли вредоносное ПО в попытке украсть семенные фразы напрямую.
Это развивающаяся история, и будет добавлена дополнительная информация по мере ее появления.
Термины в новости
- Холодный (аппаратный) кошелёк
- Устройство или носитель, хранящий ключи без подключения к интернету, например Ledger или Trezor. Самый надёжный способ хранить крупные суммы.
- Транзакция
- Операция в блокчейне: перевод монет или вызов смарт-контракта, подписанный ключом отправителя. Становится необратимой после подтверждения в блоке.
