Ledger CTO varnar för NPM supply chain attacker som påverkar över 1 miljarder nedladdningar

Charles Guillemet, teknikchef på hårdvaruplånboksleverantören Ledger, utfärdade en offentlig varning om en pågående försörjningskedjeattack som påverkar Node.js-ekosystemet. Enligt Guillemet:s inlägg på sociala medieplattformen X fick angripare tillgång till ett välrenommerat utvecklarkonto på NPM (Node Package Manager) och injicerade skadlig kod i allmänt använda JavaScript-paket. De komprometterade paketen har tillsammans ackumulerat över 1 miljard nedladdningar, vilket indikerar ett potentiellt allvarligt hot mot utvecklare och slutanvändare inom kryptosektorn.

Den skadliga koden är designad för att avlyssna och ändra transaktionsdata inom de drabbade biblioteken, och byter tyst ut den avsedda plånboksadressen mot angriparens adress. Sådana ändringar förblir osynliga för applikationer som inte implementerar strikt on-chain-adressverifiering. Som en följd kan medel som skickas via decentraliserade applikationer eller smarta kontrakt som är beroende av de komprometterade paketen omdirigeras till obehöriga konton, vilket leder till betydande ekonomiska förluster för användare.

Guillemet betonade att det enda pålitliga försvaret mot denna typ av attack är användning av hårdvaruplånböcker utrustade med säkra displayer och stöd för Clear Signing. Säkra displayer tillåter användare att verifiera den exakta mottagaradressen och transaktionsbeloppet innan överföringen slutförs. Utan denna nivå av validering förblir efterföljande plånboksprogramvara eller decentraliserade applikationer sårbara för adressbytesattacker.

Öppen källkod-försörjningskedjor har länge erkänts som potentiella kompromisspunkter, särskilt inom kritisk infrastruktur och finansiella applikationer. Attacken mot NPM understryker den sammanlänkade karaktären hos moderna utvecklingsarbetsflöden, där ett intrång på ett enda konto kan leda till omfattande kodkontaminering. Säkerhetsexperter uppmanar underhållare av högriskpaket att implementera multifaktorautentisering, regelbundna säkerhetsgranskningar och automatiserade integritetskontroller som en del av en omfattande förstärkningsstrategi.

Ledger har ännu inte identifierat de specifika paketen eller utvecklarna som är inblandade för att undvika att påskynda spridningen av den skadliga koden. Guillemet råder utvecklare att granska sina beroenden, övervaka nätverksförfrågningar för onormal adressbytesaktivitet och använda kryptografiska verktyg för att verifiera paketintegritet. Han uppmanade också den bredare öppen källkods-gemenskapen och företagsanvändare att samarbeta för att spåra och åtgärda de komprometterade modulerna.

Denna incident följer en serie högprofilerade försörjningskedjeattacker inom mjukvaruutveckling, inklusive trojaniserade beroenden i populära ekosystem. Attacken påminner om att säkerhetsåtgärder måste sträcka sig bortom direkta attacker på applikationer till att omfatta hela utvecklingskedjan. Organisationer uppmanas att använda rigorösa säkerhetskontroller, inklusive vitlistning av beroenden, kontinuerlig övervakning och planering för incidenthantering för att minska framtida risker.

Rapporterat av Margaux Nijkerk; redigerat av Nikhilesh De.