მიწოდების ჯაჭვის აშკარა შეტევა Ledger's Connect Kit-ის წინააღმდეგ, პროგრამული ხელსაწყო, რომელიც მომხმარებლებს საშუალებას აძლევს დააკავშირონ თავიანთი საფულეები დეცენტრალიზებული აპლიკაციების წინა ბოლოში (dApps). დაცლილი მომხმარებლის საფულეები.
ლეჯერის ყოფილ თანამშრომელს ეკუთვნოდა გატეხილი ანგარიში, Connect Kit პროგრამული უზრუნველყოფის ახალი ვერსია NPM პროგრამული უზრუნველყოფის საცავში გადაიტანა, სანამ ის რამდენიმე საათის შემდეგ გამოიცვლიდა. ეს კომპრომისი საფრთხეს უქმნიდა ნებისმიერ სერვისს, რომელიც ეყრდნობოდა პროგრამულ უზრუნველყოფას, მაშინაც კი, თუ მომხმარებელი არ იყენებდა Ledger-ის ბრენდის აპარატურულ საფულეებს.
X (ყოფილი Twitter) მომხმარებლებმა განაცხადეს, რომ მავნე ვერსია წარმოადგენდა დამატებით ამომხტარ ფანჯარას, რომელიც მიუთითებს მომხმარებლებზე გადინების პროგრამული უზრუნველყოფისკენ, რომელიც დაფუძნებულია შეცვლილ WalletConnect პროგრამულ უზრუნველყოფაზე.
Ledger HQ-ის ნაგულისხმევი განხორციელება "connect-kit-loader" იყო განსაკუთრებით დაუცველი, ვირჩევთ ყოველთვის ჩატვირთოთ უახლესი ვერსია პირდაპირ კონტენტის მიწოდების ქსელიდან (CDN) კონკრეტულ ვერსიაზე ჩაკეტვის ნაცვლად.
ფირმებმა უკვე დაიწყეს ამ თავდასხმაზე რეაგირება, ხოლო Tether-ის აღმასრულებელმა დირექტორმა პაოლო არდოინომ X-ის საშუალებით განაცხადა, რომ Tether-მა გადაწყვიტა ამ ექსპლოიტთან დაკავშირებული მისამართის გაყინვა.
წაიკითხეთ მეტი: მკვლევარი აღმოაჩენს მონაცემთა შეგროვებას Ledger Live აპში
ZachXBT, ბლოკჩეინის გამომძიებელი, აღნიშნა 0x658729879fca881d9526480b82ae00efc54b5c2d, როგორც ექსპლუატერის მისამართი. ეს მისამართი ასევე თავდაპირველად გადაეცა 0x412f10AAd96fD78da6736387e2C84931Ac20313f ან „Angel Drainer“. ეს არის მისამართი, რომელიც ხშირად გამოიყენება ფიშინგის თაღლითობაში.
მისამართმა მიიღო სხვადასხვა აქტივები, დებანკმა განაცხადა, რომ ღირებულებამ დაახლოებით მიაღწია $480,000 აქტივების გადაცემამდე საფულედან.
მიიღეთ რჩევა? გამოგვიგზავნეთ ელ.წერილი ან ProtonMail. მეტი ინფორმირებული სიახლეებისთვის, მოგვყევით X, Instagram, Blueskyდა Google ამბები, ან გამოიწერეთ ჩვენი YouTube არხი.
წყარო: https://protos.com/decentralized-apps-suffer-after-ledger-connect-kit-attack/