Техническите директори на Ledger предупреждават за атаки по веригите на доставки на NPM с над 1 милиард изтегляния

Чарлс Гийомет, главен технологичен директор на доставчика на хардуерни портфейли Ledger, издаде публично предупреждение за развиваща се атака по веригата на доставки, която засяга екосистемата Node.js. Според публикацията на Гийомет в социалната мрежа X, нападателите са получили достъп до акаунт на реномиран разработчик в NPM (Node Package Manager) и са инжектирали злонамерен код в широко използвани JavaScript пакети. Засегнатите пакети са натрупали общо над 1 милиард изтегляния, което показва потенциално сериозна заплаха за разработчиците и крайните потребители в сектора на криптовалутите.

Злонамереното съдържание е проектирано да прихваща и променя данните за транзакциите в засегнатите библиотеки, тихомълком замествайки целевия адрес на портфейла с този на нападателя. Такива промени остават невидими за приложения, които не прилагат строга верификация на адресите в блокчейн. В резултат средствата, изпратени чрез децентрализирани приложения или смарт договори, които разчитат на компрометираните пакети, могат да бъдат пренасочвани към неоторизирани акаунти, причинявайки съществени финансови загуби за потребителите.

Гийомет подчерта, че единствената надеждна защита срещу този вид атаки е използването на хардуерни портфейли, оборудвани с защитени дисплеи и поддръжка на Clear Signing. Защитените дисплеи позволяват на потребителите да проверят точния адрес на получателя и сумата на транзакцията преди финализиране на трансфера. Без този вид валидация софтуерът на портфейла или децентрализираните приложения остават уязвими към атаки с размяна на адреси.

Веригите за доставки на софтуер с отворен код отдавна са признати като потенциални точки на компрометиране, особено в критична инфраструктура и финансови приложения. Атаката към NPM подчертава взаимносвързаната природа на съвременните работни процеси при разработка, където проникване в един акаунт може да доведе до широко разпространено заразяване на кода. Експертите по сигурността призовават поддържащите пакети с висок риск да въведат мултифакторна автентикация, редовни прегледи на сигурността и автоматизирани проверки на цялостта като част от цялостна стратегия за затягане на защитата.

Ledger все още не е идентифицирал конкретните пакети или разработчиците, за да избегне ускоряване на разпространението на злонамерения код. Гийомет посъветва разработчиците да одитират своите зависимости, да наблюдават мрежовите заявки за аномална активност по размяна на адреси и да използват криптографски инструменти за проверка на интегритета на пакетите. Той също така призова по-широката общност с отворен код и корпоративни потребители да сътрудничат в проследяването и отстраняването на компрометираните модули.

Този инцидент следва поредица от високопрофилни атаки по веригата на доставки в софтуерната разработка, включително троянски зависимости в популярни екосистеми. Атаката служи като напомняне, че мерките за сигурност трябва да се разпространяват отвъд директните атаки върху приложенията и да включват целия процес на разработка. Организациите се насърчават да прилагат строги контролни механизми за сигурност, включително списъци с разрешени зависимости, непрекъснат мониторинг и планиране на отговор при инциденти, за да смекчат бъдещи рискове.

Доклад на Марго Нийкерк; редакция от Нихилеш Де.