Η επίθεση στο πορτοφόλι κρυπτογράφησης Ledger οδηγεί σε τεράστιες κλοπές χρημάτων

Ο γίγαντας της

κρυπτο

γράφησης Ledger πέρασε τις 14 Δεκεμβρίου προειδοποιώντας τους χρήστες να μην αλληλεπιδρούν με αποκεντρωμένες εφαρμογές

web3

εν μέσω ανησυχιών για επίθεση στην αλυσίδα εφοδιασμού.

Η εταιρεία διαπίστωσε ότι η επίθεση στη βιβλιοθήκη «Ledger dApp Connect Kit» ωθούσε ένα πρόγραμμα αποστράγγισης πορτοφολιού JavaScript.

Έκτοτε, ο Ledger επιβεβαίωσε ότι έπεσε θύμα επίθεσης phishing και ότι το

σφάλμα

διορθώθηκε, αφήνοντας τους χρήστες ελεύθερους να συνεχίσουν να χρησιμοποιούν το Ledger Connect Kit

Η επίθεση κρυπτογράφησης θα μπορούσε να είχε αποφευχθεί

Ο Ledger επιβεβαίωσε στις 4:49 μ.μ. CET μέσω ανάρτησης στο

Χ

ότι ένας πρώην υπάλληλος έπεσε θύμα επίθεσης phishing που έθεσε σε κίνδυνο τον λογαριασμό τους NPMJS. Ο εισβολέας χρησιμοποίησε τον παραβιασμένο λογαριασμό για να δημοσιεύσει μια κακόβουλη έκδοση του Ledger Connect Kit, το οποίο χρησιμοποίησε ένα αδίστακτο έργο WalletConnect για να αναδρομολογήσει χρήματα στο πορτοφόλι του χάκερ.

Ο ερευνητής κρυπτογράφησης ZachXBT δημοσίευσε στο

Χ

ότι πάνω από 610.000 δολάρια είχαν κλαπεί κατά τη διάρκεια της επίθεσης.

Ο Ledger είπε ότι το κακόβουλο αρχείο, το οποίο επηρέασε τις εκδόσεις 1.1.5, 1.1.6 και 1.1.7, ήταν ζωντανό για περίπου πέντε ώρες, αλλά ότι η εξάντληση του κεφαλαίου πραγματοποιήθηκε σε μικρότερο χρονικό διάστημα περίπου δύο ωρών. Εκδόθηκε μια επιδιόρθωση εντός 40 λεπτών από την

ενημέρωση

του Ledger και η εταιρεία επιβεβαίωσε έκτοτε ότι το Ledger Connect Kit 1.1.8 έχει πλέον διαδοθεί πλήρως και ότι οι χρήστες μπορούν να συνεχίσουν κανονικά.

Ο Ledger έχει επίσης αναφέρει τη διεύθυνση πορτοφολιού του εισβολέα και έχει παγώσει το USDT του μαζί με το Tether.

Ο Διευθύνων Σύμβουλος της Ledger, Pascal Gauthier, απάντησε επίσης στο περιστατικό, δηλώνοντας ότι το «ατυχές μεμονωμένο περιστατικό» χρησιμεύει ως «υπενθύμιση ότι η ασφάλεια

δεν είναι

στατική» και ότι η Ledger, και οποιαδήποτε άλλη εταιρεία, θα πρέπει να βελτιώνουν συνεχώς την ασφάλειά τους.

Ο Gauthier πρόσθεσε: «Ο Ledger θα υποστηρίξει τους επηρεαζόμενους χρήστες να βοηθήσουν να βρουν αυτόν τον κακό ηθοποιό, να τους παραπέμψουν στη δικαιοσύνη, να παρακολουθήσουν τα κεφάλαια και να συνεργαστούν με τις αρχές επιβολής του νόμου για να βοηθήσουν στην ανάκτηση κλεμμένων περιουσιακών στοιχείων από τον χάκερ».