Злоупотребление Ledger лишило $ 484 тыс., Потрясая DeFi; Бывший сотрудник связан с вредоносным кодом
Мошенничество с Ledger убедило на $484 тыс., потрясая DeFi; Бывший сотрудник оказался связан с вредоносным кодом
Хакеры украли $484,000 в четверг, вставив вредоносный код в библиотеку Github для Connect Kit – широко используемого программного обеспечения блокчейна, поддерживаемого криптокошельком Ledger. Несколько известных протоколов децентрализованной финансовой (DeFi) системы, которые используют эту библиотеку, пострадали, и пользователям было рекомендовано воздержаться от использования децентрализованных приложений (dApps) до тех пор, пока эти протоколы не обновятся.
Connect Kit от Ledger – это код, который позволяет протоколам DeFi подключаться к аппаратным криптокошелькам. Уязвимость повлияла на фронт-энд всех протоколов, использующих Connect Kit, включая такие протоколы, как Sushi, Lido, Metamask и Coinbase.
В своем сообщении на Х, опубликованном в четверг, Ledger подтвердил, что сотрудник был целью «фишинговой атаки», после чего злоумышленник «опубликовал вредоносную версию Ledger Connect Kit».
Подробнее: Ledger Exploit Endangers DeFi; Sushi Says ‘Do Not Interact With ANY dApps’
- Распределенные приложения останавливают Ledger Connect до устранения уязвимостей
- Суши пострадала от эксплойта переднего конца; компрометируются связанные с реестром комплекты, которые угрожают другим протоколам DeFi.
- Несколько DApps, использующих библиотеку соединителя Ledger, были скомпрометированы
Представитель Ledger сообщил CoinDesk, что “выявили и удалили вредоносную версию Ledger Connect Kit”, и в своем сообщении на Х компания заявила, что “окно, в течение которого средства были выведены, ограничивалось периодом менее чем два часа”.
Несмотря на то, что Ledger обновил свой собственный код, Идо Бен-Натан, генеральный директор блокчейн-безопасности Blockaid, сообщил CoinDesk в сообщении в Telegram, что “многие веб-сайты по-прежнему подвержены угрозе, и пользователи пострадали”. Чтобы риск полностью минимизировать, каждый протокол, использующий Ledger Connect Kit, должен вручную обновить свою версию библиотеки. Тем временем, несколько протоколов остаются под угрозой, в частности revoke.cash, который является сервисом для удаления разрешений из протоколов DeFi.
«Revoke.cash специально подвержен угрозе, поэтому не взаимодействуйте с ним», добавил Бен-Натан. «количество пострадавших средств составляет сотни тысяч долларов за последние два часа».
Хакерские атаки, связанные с DeFi, происходят часто в этом году, и только в июле было украдено $303 миллиона после атак на Curve Finance и Multichain. После таких атак пользователи обычно используют веб-сайты, как revoke.cash, чтобы удалить разрешения из затронутых протоколов.
В данном случае, однако, вместо хот-кошельков пострадал фронт-энд веб-сайтов, и пользователи revoke.cash будут попросить подключить свои кошельки к зловредной системе сброса токенов, что расширяет масштаб взлома на всё, что находится в кошельке пользователя.
MetaMask объявил, что через два часа после атаки разработал исправление для удаления вредоносного кода.
Характер эксплойта подчеркивает хрупкость децентрализованных приложений; поскольку протоколы используют код от нескольких поставщиков программного обеспечения, таких как Ledger, существуют многочисленные моменты отказа в цепочке поставок, которые в конечном итоге могут повлиять на пользователей.
Ledger ранее стала жертвой проблем безопасности. В 2020 году ее вся база данных клиентов была скомпрометирована, что вызвало опасения относительно переключения SIM-карт и наездов на дома клиентов. Кроме того, в прошлом году возникли споры после обновления программного обеспечения, которые раскрыли несоответствия между безопасностью ее аппаратного обеспечения и тем, как это было рекламировано пользователям.
Редактировал Сэм Кесслер.
We will continue to update BiLee; if you have any questions or suggestions, please contact us!
Was this article helpful?
93 out of 132 found this helpful
Related articles
- Более 300 млн долларов украденных криптовалютных активов попали в биткоин-миксеры в 2023 году данные
- Общая стоимость экосистемы Cardano DeFi приближается к $450 млн в связи с усилиями по развитию уровня 1; ADA стремительно растет на 17%
- Цена Cardano (ADA) вырастает на более чем 15%, поскольку общий объем телевизионного развлечения в секторе DeFi превышает 450 миллионов долларов.
- Yearn.finance умоляет арбитражных трейдеров вернуть средства после $1.4M прокола в мультиподписи
- Виталик Бутерин рассматривает возможность вернуть некоторые функции Layer-2 на главный цепочный блок Эфириума.
- Hitachi и Фонд Конкордиум объединяются для разработки биометрического криптокошелька
- Cosmos Interchain Foundation выделяет $26 млн на развитие экосистемы в 2024 году