Оприлюднено деталі масової крадіжки криптовалюти з пристроїв Ledger

Компанія Ledger, популярний виробник апаратних криптогаманців, попередила клієнтів про небезпеку використання dApps (децентралізованих додатків). Причина — кібератака на ланцюжок постачання.

Зловмисники впровадили шкідливий javascript-код у бібліотеку Ledger dApp Connect Kit, яка дозволяє web3-додаткам взаємодіяти з гаманцями Ledger. Даний код автоматично викрадав криптовалюту і NFT з підключених до сервісу рахунків.

За даними компанії, проблему було виявлено вранці 14 грудня, після того, як акаунт Ledger на ресурсі NPMJS зазнав фішингової атаки. Невідомі зловмисники опублікували шкідливий аналог Connect Kit, що зачіпає версії 1.1.5, 1.1.6 і 1.1.7.

Шкідливий javascript використовував вразливість у сторонній бібліотеці Wallet Connect, щоб перенаправляти кошти користувачів на рахунки хакерів. Розробники видалили скомпрометовані версії Connect Kit і терміново випустили нову — 1.1.8.

Однак небезпека зберігається для сторонніх dApps, які все ще працюють на старих версіях. Користувачам рекомендують утриматися від використання цих додатків до моменту розв’язання проблеми.

Як запевнили у Ledger, основне програмне та апаратне забезпечення не постраждало. Працездатність найпопулярніших продуктів компанії, Ledger Live і самих апаратних криптогаманців не було порушено.

Проте компанія попередила про активізацію фішингових атак. Користувачам радять проявляти пильність і за жодних обставин не повідомляти зловмисникам секретну фразу з 24 слів.

За інформацією блокчейн-компанії SlowMist, компрометація бібліотеки Ledger почалася ще з версії 1.1.5. Тоді злочинці додали до коду текстове повідомлення як перевірку. А у версіях 1.1.6 і 1.1.7 вже містився добре замаскований шкідливий javascript. Аналіз цього скрипту показав, що він також намагався викрасти криптовалюту і NFT з платформ Coinbase, Trust Wallet і MetaMask.

Розслідування інциденту все ще триває. Наразі не встановлені масштаби збитків, хоча надходили повідомлення про розкрадання близько $ 680 000. Компанія Ledger вже виявила адреси гаманців зловмисників, а команда Tether заморозила частину викрадених коштів у USDT.