Блокчейн-фирма Ledger подтверждает компрометацию библиотеки ConnectKit

Фирма по блокчейну Ledger подтверждает взлом библиотеки ConnectKit

Поставщик аппаратных кошельков Ledger предупреждает пользователей об избегании подключения к любым поддерживаемым децентрализованным приложениям (dApps) с использованием его программного обеспечения из-за компрометации его библиотеки ConnectKit.

Согласно информации, опубликованной на его аккаунте X (ранее Twitter), злонамеренная версия ConnectKit была обнаружена и удалена из его системы.

🚨We have identified and removed a malicious version of the Ledger Connect Kit. 🚨

A genuine version is being pushed to replace the malicious file now. Do not interact with any dApps for the moment. We will keep you informed as the situation evolves.

• Планирует ли OpenAI выпустить обновленную версию ChatGPT? Утечка скриншота GPT-4.5
• Генеральный директор компании Ledger объясняет взлом и называет его изолированным происшествием.
• Кошелек Bitget сотрудничает с Linea с целью совместного развития экосистемы Layer 2

Your Ledger device and…

— Ledger (@Ledger) December 14, 2023

Следовательно, пользователям настоятельно рекомендуется временно избегать взаимодействия с любыми dApp. Однако Ledger заверяет пользователей, что их устройства Ledger и приложения Ledger Live не пострадали от злонамеренного кода.

Компрометированная библиотека ConnectKit была впервые обнаружена разработчиком на X с именем пользователя @bantg, который заявил, что в систему программного обеспечения Ledger был внедрен дрейнер.

🚨 ledger library confirmed compromised and replaced with a drainer. wait out interacting with any dapps till things become clearer.https://t.co/xapunW8zC3 pic.twitter.com/NlAc11vhdv

— banteg (@bantg) December 14, 2023

Предположительно, дрейнер был добавлен в сеть доставки контента (CDN), которая размещала эту библиотеку программного обеспечения.

Разъясняя, как был внедрен вредоносный код, Blockaid заявил, что кибератакующий внедрил “выкачиватель” в популярный пакет NPM, что привело к компрометации для dApps, использующих версии 1.14 и выше ConnectKit от Ledger.

🚨 We've detected a potential supply chain attack on ledgerconnect kit 🚨
The attacker injected a wallet draining payload into the popular NPM package.
This currently affects a couple of popular dapps including but not limited to https://t.co/2QJmKIGv9T

— Blockaid (@blockaid_) December 14, 2023

Мэтью Лилли, главный технологий служащий (“CTO”) компании Sush, также сообщил, что LedgerHQ/connectkit загружает JS из учетной записи CDN, которая была скомпрометирована. В результате во многие dApp был внедрен вредоносный JS-код.

No, LedgerHQ/connect-kit loads JS from a CDN, their CDN account has been compromised which is injecting malicious JS into multiple dApps.

— I'm Software 🦇🔊 (@MatthewLilley) December 14, 2023

Такие проекты блокчейна, как RevokeCash и Kyber Network, подтвердили данный инцидент. RevokeCash временно приостановил свой веб-сайт в ответ на это, но затем устранил проблему, удалив использованные пакеты и вновь открыв свой веб-сайт.

⚠️⚠️⚠️⚠️⚠️⚠️
Warning: Multiple popular crypto applications that integrate with Ledger's ConnectKit library, including https://t.co/MkINKOiX5N have been compromised. We temporarily took the website offline as we're investigating further. We recommend not using *any* crypto website…

— Revoke.cash (@RevokeCash) December 14, 2023

Однако проект настоятельно рекомендует пользователям воздержаться от подключения своих криптокошельков к любому блокчейн протоколу в течение оставшейся части дня.

После устранения проблемы по-прежнему небезопасно

Протокол Ledger подтвердил развертывание подлинного программного обеспечения и активно работает над устранением “выкачивателя” из своего сервиса CDN.

Не смотря на эти усилия, строительные компании рекомендуют осторожность крипто-пользователям при взаимодействии с любыми решениями на основе Web3 на данный момент.

Разработчик Ethereum Hudson Jameson объяснил, что если любой крипто-пользователь посещает любое из многочисленных dApp, связанных с экосистемой Ledger, браузер может показывать предупреждения, которые раскрывают детали его криптокошелька.

Эта уязвимость создает риск компрометации активов. Чтобы уменьшить этот риск, настоятельно рекомендуется пользователям воздержаться от взаимодействия с любыми затронутыми dApp до выпуска обновления.

Ledger Library Exploit Explainer for Average Folks

What is going on with the recent alerts not to use dapps?

A library that is used by many dapps that is maintained by Ledger was compromised and a wallet drainer was added.

What do I do as a normal user?

Do not interact with… https://t.co/exre0QfykD

— Hudson Jameson (@hudsonjameson) December 14, 2023

Джеймсон подчеркнул, что даже после удаления вредоносного кода все связанные dApp должны обновить свои библиотеки, прежде чем их можно будет считать безопасными для использования.

We will continue to update BiLee; if you have any questions or suggestions, please contact us!