Hackerek támadták meg a dYdX kriptotőzsde NPM-fiókját
A dYdX decentralizált kriptotőzsde által használt NPM csomagok egy részét feltörték, hogy a felhasználók személyes információihoz férjenek hozzá. Az érintett platform az Ethereum blokklánca működteti, amely több népszerű kriptovaluta kereskedési lehetőséget is kínál, és átlagos napi kereskedési volumene megközelíti az 1 milliárd dollárt.
A Diffend.io alapítója és egyben kutató, Maciej Mensfeld arról számolt be, hogy számos sérült NPM csomagot fedezett fel, amelyek titokban adathalász programokat telepítenek.
☠️ [PLEASE SHARE] If you use @dydx
@npmjs packages, DO NOT update them to the latest versions as they were compromised: https://t.co/TDjBIQxwLihttps://t.co/9R3vRLJTU3They exfiltrate credentials and steal sensitive data!#javascript #supplychain #cybersecurity #opensource pic.twitter.com/TDtrylumMK
— Maciej Mensfeld / @[email protected] (@maciejmensfeld) September 23, 2022
A szóban forgó csomagokat a kriptotőzsde egyik munkatársának NPM-fiókjáról tették közzé, amelyek olyan kódokat tartalmaztak, hogy telepítésükkor a hackerek adatokhoz férhettek hozzá.
Az érintett két csomag és verzióik:
- @dydxprotocol/solo – 0.41.1, 0.41.2 verziók
- @dydxprotocol/perpetual – 1.2.2, 1.2.3 verziók
Ezek a csomagok alkotják az Ethereum okosszerződéseket és a TypeScript könyvtárat, amelyeket a dYdX Solo kereskedési protokollnál alkalmaznak. A Solo csomagot figyelembe véve azt legalább 44 GitHub tárhely használja, amelyek több kriptoplatformhoz tartoznak.
Amint ez a csomag telepítésre kerül, egy előtelepítő szkript indul el, amely letölti, majd futtatja az api.circle-cdn.com oldalon található ci.js JavaScript fájl tartalmát.
A rosszindulatú kódsor a package.json fájlban. Forrás: Bleepingcomputer.com.
A kód a felhasználó GitHub tokenjeit, SSH kulcsait, valamint a külső IP-címét szerzi meg, majd az ellopott adatokat feltöltik az api.circle-cdn.com domainre.
A dYdX fejlesztője, Brandan Chou megköszönte Mensfeldnek a figyelmeztetést. Továbbá megerősítette, hogy az összes veszélyeztetett verziót levették, kivéve a [email protected], amit az NPM átmeneti figyelmetlenségének tulajdonítanak. Emellett a platform elmondta, hogy az incidens nem volt hatással a weboldalakra, alkalmazásokra, okosszerződésekre és forrásokra sem.
At 6:14AM EST, we identified malicious versions published to a number of dYdX NPM packages that were quickly removed.
🔒 All funds are SAFE
✅ Our websites/apps have NOT been compromised
✅ The attack did NOT impact smart contractsWe will follow up with a post mortem asap
— dYdX (@dYdX) September 23, 2022