Глава Ledger заявил об устранении уязвимости библиотеки Ledger Connect Kit для DApps
Аналитики оценивают ущерб от эксплойта в $610 000
15.12.2023 - 07:49
569
4 мин
0
Что произошло? 14 декабря был осуществлен эксплойт Javascript-библиотеки Ledger Connect Kit для подключения веб-сайтов к аппаратным кошелькам Ledger. В самой компании заверили, что атака не повлияла на целостность аппаратного обеспечения Ledger или Ledger Live и затронула только сторонние децентрализованные приложения (DApps), которые использовали библиотеку. В своем открытом письме гендиректор Ledger Паскаль Готье заверил, что уязвимость уже была устранена.
Что еще известно? Готье пояснил, что эксплойт был совершен путем фишинговой атаки на бывшего сотрудника и внедрения вредоносного файла в менеджер пакетов для кода Javascript (NPMJS), совместно используемый приложениями.
Вместе с партнером WalletConnect компания устранила уязвимость, обновив NPMJS для удаления и деактивации вредоносного кода, на это ушло около 40 минут. Сам вредоносный файл был активен около пяти часов, при этом период вывода средств составил порядка двух часов, считают в Ledger.
Теперь компания автоматически обновляет Ledger Connect Kit до версии 1.1.8, которая безопасна для использования. Готье также поблагодарил за сотрудничество эмитента USDT Tether, аналитиков компании Chainalysis и анонимного исследователя блокчейна под ником ZachXBT. Так, Tether заморозила адрес хакера, о чем сообщил глава компании Паоло Ардоино. Согласно данным аналитической платформы Arkham Intelligence, на нем содержатся криптовалюты стоимостью $272 944.
Готье добавил, что в Ledger ни один человек не может развернуть код без проверки и одобрения нескольких сторон, а у любого сотрудника при увольнении аннулируется доступ ко внутренним системам, однако имел место «досадный единичный инцидент», и компания усовершенствует методы обеспечения безопасности.
Ledger запустила спорную функцию восстановления закрытых ключей и открыла ее исходный код
Функция позволяет передать части seed-фразы на хранение третьим сторонам
Компания также сотрудничает с правоохранителями, чтобы помочь вернуть пострадавшим пользователям DApps украденные активы. Как отмечал ZachXBT, ущерб от эксплойта превысил $610 000.
Полезный материал?
Происшествия
В адрес Роджера Вера выдвинули обвинения в неуплате налогов
1 мая 2024 г.
Майнинг
После публикации финансового отчета акции компании прибавили 5%
30 апр. 2024 г.
Рынки
Ранее комиссия предупредила разработчика о потенциальных принудительных действиях
29 апр. 2024 г.
Рынки
Средства могут быть изъяты правоохранителями из-за связи с незаконной деятельностью
26 апр. 2024 г.
Рынки
Осуществлять выпуск и погашение стейблкоинов USDT будет подразделение Tether Finance
18 апр. 2024 г.
Тренды
Первым представленным на платформе проектом станет BounceBit (BB)
18 апр. 2024 г.