dYdX wird zum Ziel, da bösartige Pakete die Wallets der Nutzer leeren

Forscher haben enthüllt, dass böswillige Akteure dYdX ins Visier nehmen und bösartige Pakete nutzen, um die Wallets der Nutzer zu leeren. Laut dem Bericht waren einige Open-Source-Pakete, die auf den npm- und PyPi-Repositories veröffentlicht wurden, mit Code verseucht, der Wallet-Anmeldeinformationen von dYdX-Entwicklern und Backend-Systemen stahl.

dYdX ist eine dezentrale Derivate-Börse, die Hunderte von Märkten für den Perpetual-Handel unterstützt. In dem Bericht erwähnten Forscher der Sicherheitsfirma Socket, dass alle Anwendungen, die die kompromittierten npm-Versionen nutzen, gefährdet sind. Sie behaupteten, dass die direkten Auswirkungen der Angriffe die vollständige Kompromittierung von Wallets und Krypto-Diebstähle umfasst haben. Der Angriffsumfang umfasst alle Anwendungen, die von der kompromittierten Version abhängen, sowohl Entwickler-Tests mit echten Zugangsdaten als auch Endanwender in der Produktivumgebung.

Bösartige Pakete kompromittieren Wallets, die mit dYdX verbunden sind

Laut dem Bericht gehören zu den infizierten Paketen npm (@dydxprotocol/v4-client-js): (Versionen 3.4.1, 1.22.1, 1.15.2, 1.0.31) und PyPI (dydx-v4-client): (Version 1.1.5post1). Socket erwähnte, dass die Plattform seit ihrem Debüt in der DeFi-Branche ein Handelsvolumen von mehr als 1,5 Billionen US-Dollar verarbeitet hat, mit einem durchschnittlichen Handelsvolumen von 200 Millionen bis 540 Millionen US-Dollar. Darüber hinaus weist die Plattform auch ein offenes Interesse von etwa 175 Millionen US-Dollar auf.

Die Börse stellt Bibliotheken bereit, die Drittanbieteranwendungen für Trading-Bots, automatisierte Strategien oder Backend-Dienste ermöglichen, bei denen alle Mnemonics oder private Schlüssel zum Signieren verwendet werden. Die npm-Malware hat eine bösartige Funktion in das legitime Paket eingebettet. Wenn ein Seed-Phrase, das die Sicherheit eines Wallets untermauert, verarbeitet wird, kopiert die Funktion diesen zusammen mit einem Fingerabdruck des Geräts, auf dem die Anwendung ausgeführt wird.

Der Fingerabdruck ermöglicht es dem Threat-Aktor, gestohlene Anmeldeinformationen über mehrere Kompromittierungen hinweg den Opfern zuzuordnen. Die Domain, die die Seed-Phrases empfängt, ist dydx[.]priceoracle[.]site, die den legitimen dYdX-Service unter dydx[.]xyz durch Typosquatting imitiert. Der auf PyPI verfügbare bösartige Code setzte die gleiche Funktion zum Diebstahl von Anmeldeinformationen fort, implementierte jedoch einen Remote-Access-Trojaner (RAT), der die Ausführung neuer Malware auf bereits infizierten Systemen ermöglicht.

Die Forscher stellten fest, dass der Backdoor Befehle von dydx[.]priceoracle[.]site empfing, und fügten hinzu, dass die Domain am 9. Januar erstellt und registriert wurde, 17 Tage bevor das bösartige Paket auf PyPI hochgeladen wurde. Laut Socket läuft der RAT als Hintergrund-Dämonen-Thread, sendet im 10-Sekunden-Takt Signale an den C2-Server, empfängt Python-Code vom Server und führt ihn in einem isolierten Unterprozess ohne sichtbare Ausgabe aus. Darüber hinaus verwendet er auch einen fest codierten Autorisierungstoken.

Neuer Angriff zeigt beunruhigenden Trend

Socket fügte hinzu, dass die Threat-Aktoren nach der Installation willkürlichen Python-Code mit Benutzerrechten ausführen, SSH-Schlüssel, API-Anmeldeinformationen und Quellcode stehlen konnten. Darüber hinaus konnten sie persistente Backdoors installieren, sensible Dateien exfiltrieren, die Benutzeraktivität überwachen und kritische Dateien ändern. Die Forscher fügten hinzu, dass die Pakete unter Verwendung offizieller dYdX-Konten auf npm und PyPI veröffentlicht wurden, was bedeutet, dass diese kompromittiert und von den Angreifern genutzt wurden.

Während dYdX noch keine Stellungnahme zur Angelegenheit veröffentlicht hat, ist dies mindestens der dritte Angriff auf dYdX. Der vorherige Vorfall ereignete sich im September 2022, als ein bösartiger Code auf das npm-Repository hochgeladen wurde. Im Jahr 2024 wurde die dYdX-Website übernommen, nachdem die V3-Website über DNS gehijkt worden war. Benutzer wurden auf eine bösartige Website umgeleitet, die sie aufforderte, Transaktionen zu signieren, die darauf ausgelegt waren, ihre Wallets zu leeren.

Socket behauptete, dass dieser neueste Vorfall ein beunruhigendes Muster von Gegnern hervorhebt, die dYdX-bezogene Assets über vertrauenswürdige Vertriebskanäle ins Visier nehmen. Es wurde darauf hingewiesen, dass die Angreifer wissentlich Pakete in den npm- und PyPI-Ökosystemen kompromittiert haben, um die Angriffsfläche zu erweitern, um JavaScript- und Python-Entwickler zu erreichen, die mit der Plattform arbeiten. Jeder, der die Plattform nutzt, sollte alle Anwendungen sorgfältig auf Abhängigkeiten von den bösartigen Paketen überprüfen.