Sind Kundendaten und Vermögenswerte von Binancenach einem schweren Lieferkettenangriff gefährdet?

Binance, die nach Handelsvolumen größte Kryptobörse der Welt, versicherte ihren Kunden am Dienstag, dass bei einem der größten Lieferkettenangriffe, die jemals das JavaScript-Ökosystem getroffen haben, keine Benutzerdaten oder Vermögenswerte kompromittiert wurden. 

Laut einer auf X veröffentlichten Erklärung Binance kein Schaden an der Datenbank entstanden sei bei einem Angriff , der auf weit verbreitete Node.js-Pakete abzielte, die an über 2 Milliarden wöchentlichen App-Downloads beteiligt sind,

„Wir sind uns des jüngsten Lieferkettenangriffs bewusst, bei dem manipulierte Versionen mehrerer weit verbreiteter JavaScript-Pakete veröffentlicht wurden“, schrieb das Unternehmen. „Nach eingehender Untersuchung können wir bestätigen, dass wir nicht betroffen waren und keine Kundendaten oder Vermögenswerte gefährdet sind. Sicherheit hat für uns weiterhin höchste Priorität. Dieser Vorfall verdeutlicht einmal mehr, wie wichtig die Sicherheit der Lieferkette ist. Bleiben Sie sicher.“

Im Hinblick auf den Lieferkettenangriff auf die soziale Plattform bemerkte: „Selbst Open-Source-Software ist heutzutage nicht sicher. Web3 wird die Sicherheit für Web2 neudefi. Wir stehen noch ganz am Anfang.“

Lieferkettenangriff auf JavaScript-Pakete verunsichert Krypto-Investoren

Der Angriff, den Sicherheitsforscher als einen der größten in der Geschichte von NPM bezeichnet haben, fand am 8. September statt. Hacker kompromittierten das Konto eines vertrauenswürdigen Open-Source-Maintainers, der unter dem Benutzernamen „qix“ bekannt ist und auch als Josh Junondentwurde. 

Die Angreifer täuschten Junon mit einer Phishing-E-Mail, die als offizielle Mitteilung von npmjs, dem zentralen Repository für JavaScript-Pakete, ausgegeben wurde. Wie aus der gefälschten E-Mail hervorgeht, überzeugten die Täter Junon davon, dass sein Konto am 10. September 2025 gesperrt würde, falls er seine Zwei-Faktor-dentnicht umgehend aktualisiere. 

„Im Rahmen unseres kontinuierlichen Engagements für die Kontosicherheit bitten wir alle Nutzer, ihre Zwei-Faktor-dent(2FA) zu aktualisieren. Unsere Aufzeichnungen zeigen, dass Ihre letzte 2FA-Aktualisierung über 12 Monate zurückliegt“, hieß es in der E-Mail.

Junon bestätigte auf X, dass er Opfer des Phishing-Angriffs , nachdem ein anderer Maintainer enthüllt hatte, dass sein NPM-Konto „Pakete mit Hintertüren veröffentlichte“, was es Angreifern ermöglichte, sein Konto zu kapern und bösartige Updates für 18 beliebte Node.js-Bibliotheken zu veröffentlichen. 

Zu den Paketen gehörten chalk, debug, ansi-styles und strip-ansi, die alle in das Web eingebettet sind.

Schadcode zielt auf Kryptotransaktionen ab

Laut einer Analyse von Aikido Security schleusten die Angreifer Code in die kompromittierten Pakete ein, der es ihnen ermöglichte, als browserbasierte Interzeptoren zu agieren. Der Code wurde in die index.js-Dateien eingeschleust, wo er den Netzwerkverkehr und die Anwendungs-APIs jeder Anwendung, die die manipulierten Pakete verwendete, abfangen konnte.

Das Schadprogramm überwacht Wallet-Adressen und Transaktionen gängiger digitaler Währungen wie Bitcoin, Ethereum, Solana, Tron, Litecoinund Bitcoin Cash. Sobald eine solche Adresse erkannt wird, ersetzt die Schadsoftware unbemerkt die Ziel-Wallet-Adresse durch eine von den Angreifern kontrollierte Adresse und leitet so Gelder um, ohne dass das Opfer davon Kenntnis hat.

Wie berichtete Cryptopolitan Cryptopolitan Chief Technology Officer des Hardware-Wallet-Herstellers Ledger, dass der Schadcode bereits in Pakete mit mehr als einer Milliarde Downloads verbreitet worden sei.

Das Blockchain-Analyseunternehmen Arkham Intelligence meldete am späten Montag, dass bisher lediglich Kryptowährung im Wert von 159 US-Dollar gestohlen wurde. Die gestohlenen Gelder konnten zu Adressen tracwerden,dentin den ursprünglichen Veröffentlichungen des Sicherheitsteams von Ledger identifiziert wurden. 

Die Forscher glauben jedoch, dass die niedrige Zahl nicht bedeutet, dass der potenzielle Schaden begrenzt sein wird, angesichts der Milliarden von Downloads, die mit den kompromittierten Paketen verbunden sind.