Оприлюднено деталі масової крадіжки криптовалюти з пристроїв Ledger

Компанія Ledger, популярний виробник апаратних криптогаманців, попередила клієнтів про небезпеку використання dApps (децентралізованих додатків). Причина — кібератака на ланцюжок постачання.

Зловмисники впровадили шкідливий javascript-код у бібліотеку Ledger dApp Con­nect Kit, яка дозволяє web3-додаткам взаємодіяти з гаманцями Ledger. Даний код автоматично викрадав криптовалюту і NFT з підключених до сервісу рахунків.

За даними компанії, проблему було виявлено вранці 14 грудня, після того, як акаунт Ledger на ресурсі NPMJS зазнав фішингової атаки. Невідомі зловмисники опублікували шкідливий аналог Con­nect Kit, що зачіпає версії 1.1.5, 1.1.6 і 1.1.7.

Шкідливий javascript використовував вразливість у сторонній бібліотеці Wal­let Con­nect, щоб перенаправляти кошти користувачів на рахунки хакерів. Розробники видалили скомпрометовані версії Con­nect Kit і терміново випустили нову — 1.1.8.

Однак небезпека зберігається для сторонніх dApps, які все ще працюють на старих версіях. Користувачам рекомендують утриматися від використання цих додатків до моменту розв’язання проблеми.

Як запевнили у Ledger, основне програмне та апаратне забезпечення не постраждало. Працездатність найпопулярніших продуктів компанії, Ledger Live і самих апаратних криптогаманців не було порушено.

Проте компанія попередила про активізацію фішингових атак. Користувачам радять проявляти пильність і за жодних обставин не повідомляти зловмисникам секретну фразу з 24 слів.

За інформацією блокчейн-компанії SlowMist, компрометація бібліотеки Ledger почалася ще з версії 1.1.5. Тоді злочинці додали до коду текстове повідомлення як перевірку. А у версіях 1.1.6 і 1.1.7 вже містився добре замаскований шкідливий javascript. Аналіз цього скрипту показав, що він також намагався викрасти криптовалюту і NFT з платформ Coin­base, Trust Wal­let і Meta­Mask.

Розслідування інциденту все ще триває. Наразі не встановлені масштаби збитків, хоча надходили повідомлення про розкрадання близько $680 000. Компанія Ledger вже виявила адреси гаманців зловмисників, а команда Teth­er заморозила частину викрадених коштів у USDT.