ハードウェアウォレットプロバイダーLedgerの最高技術責任者チャールズ・ギレメは、Node.jsエコシステムに影響を与える進行中のサプライチェーン攻撃について公開警告を発しました。ギレメのソーシャルメディアプラットフォームXでの投稿によると、攻撃者は信頼されている開発者のNPM（Node Package Manager）アカウントにアクセスし、広く使用されているJavaScriptパッケージに悪意のあるコードを注入しました。被害を受けたパッケージは累計で10億回以上ダウンロードされており、暗号通貨分野の開発者およびエンドユーザーにとって深刻な脅威となる可能性があります。
悪意のあるペイロードは、影響を受けたライブラリ内の取引データを傍受・改ざんし、意図されたウォレットアドレスを攻撃者のアドレスに静かに置き換えるよう設計されています。このような変更は、厳格なオンチェーンアドレス検証を実装していないアプリケーションには見えません。その結果、被害を受けたパッケージに依存する分散型アプリケーションやスマートコントラクト経由で送金された資金が不正アカウントに迂回され、ユーザーに重大な金銭的損失をもたらす可能性があります。
ギレメは、この種の攻撃に対する唯一の信頼できる防御策は、安全なディスプレイを備えたハードウェアウォレットとクリアサイニングのサポートを利用することだと強調しました。安全なディスプレイは、ユーザーが送金先の正確なアドレスと取引金額を最終確認することを可能にします。このレベルの検証がなければ、下流のウォレットソフトウェアや分散型アプリケーションはアドレス交換攻撃に対して脆弱なままです。
オープンソースソフトウェアのサプライチェーンは、特に重要インフラや金融アプリケーションにおいて長らく妥協の可能性のあるポイントとして認識されてきました。NPMへの攻撃は、単一アカウントの侵害が広範なコード汚染に波及する現代の開発ワークフローの相互接続性を浮き彫りにしています。セキュリティ専門家は、高リスクパッケージのメンテナに多要素認証、定期的なセキュリティレビュー、自動化された整合性チェックの実装を包括的な強化戦略の一環として強く促しています。
Ledgerは、悪意あるコードの拡散を加速させないため、具体的なパッケージや関係する開発者をまだ特定していません。ギレメは開発者に対し、依存関係の監査、異常なアドレス交換活動のネットワークリクエスト監視、パッケージ整合性の暗号学的検証を推奨しました。また、オープンソースコミュニティや企業ユーザーが協力して、被害を受けたモジュールの追跡と修復に取り組むよう呼びかけています。
この事件は、人気のエコシステムにおけるトロイの木馬入り依存関係など、ソフトウェア開発における一連の著名なサプライチェーン攻撃に続くものです。この攻撃は、セキュリティ対策はアプリケーションへの直接攻撃だけでなく、開発パイプライン全体に及ぶ必要があることを改めて示しています。組織は、依存関係のホワイトリスト化、継続的モニタリング、インシデント対応計画など厳格なセキュリティ管理を導入し、将来のリスクを軽減することが推奨されています。
マーゴー・ナイケルクによる報告; ニキレス・デ編集。
コメント (0)