- Ein Angreifer hat fünf bösartige npm-Pakete veröffentlicht, die sich an Ethereum- und Solana-Entwickler richteten.
- Die Pakete stehlen private Schlüssel und senden sie über Telegramm an den Angreifer.
- Der Angriff basiert auf Typosquatting und repliziert legitime Krypto-Bibliotheken.
Ethereum- und Solana-Entwickler wurden von fünf bösartigen npm-Paketen angegriffen, die private Schlüssel stehlen und an den Angreifer senden. Die Pakete verlassen sich auf Typosquatting und imitieren legitime Krypto-Bibliotheken.
Sicherheitsforscher von Socket fanden die fünf bösartigen npm-Pakete, die unter einem einzigen Konto veröffentlicht wurden. Die bösartige Kampagne umfasst die Ethereum- und Solana-Ökosysteme mit aktiver Command-and-Control-(C2)-Infrastruktur.
Eines der Pakete wurde innerhalb von fünf Minuten entfernt, hat seinen Code jedoch versteckt und gestohlene Daten an den Angreifer gesendet.
Hackers zielen auf Ethereum- und Solana-Entwickler ab
Crypto hackers do not only target retail investors and the elderly. They rely on social engineering tactics and typosquatting to trick developers and steal their crypto.
Die Aufgabe der bösartigen Pakete besteht darin, Schlüssel an einen fest codierten Telegramm-Bot umzuleiten.
Der bösartige npm-Angriff funktioniert, indem er Funktionen abhört, die Entwickler zur Übergabe privater Schlüssel verwenden. Wenn eine Funktion aufgerufen wird, sendet das Paket den Schlüssel an den Telegramm-Bot des Angreifers, bevor es das erwartete Ergebnis zurückgibt. Dies macht den Angriff für unbewusste Entwickler unsichtbar.
Laut Sicherheitsforschern zielen vier Pakete auf Solana-Entwickler ab, während eines auf Ethereum-Entwickler abzielt.
Die vier Pakete, die auf Solana abzielen, intercepten Base58 decode()-Aufrufe, während das ethersproject-wallet-Paket auf den Ethereum Wallet-Konstruktor abzielt.
Alle bösartigen Pakete verlassen sich auf global fetch, was Node.js 18 oder höher erfordert. Bei älteren Versionen schlägt die Anfrage stillschweigend fehl, und es werden keine Daten gestohlen.
Alle Pakete senden Daten an denselben Telegramm-Endpunkt. Das Bot-Token und die Chat-ID sind in jedem Paket fest codiert, und es gibt keinen externen Server, sodass der Kanal funktioniert, solange der Telegramm-Bot online bleibt.
Das raydium-bs58-Paket ist das einfachste. Es modifiziert eine decode-Funktion und sendet den Schlüssel, bevor das Ergebnis zurückgegeben wird. Die README-Datei wurde von einem legitimen SDK kopiert, und das Autorenfeld ist leer.
Das zweite Solana-Paket, base-x-64, verbirgt die Payload durch Obfuskation. Die Payload sendet eine Nachricht an Telegram mit dem gestohlenen Schlüssel.
Das bs58-basic-Paket enthält keinen bösartigen Code selbst, hängt aber von base-x-64 ab und leitet die Payload durch die Kette weiter.
Das Ethereum-Paket, ethersproject-wallet-Paket, kopiert eine echte Bibliothek, @ethersproject/wallet. Das bösartige Paket fügt nach der Kompilierung eine zusätzliche Zeile ein. Die Änderung erscheint nur in der kompilierten Datei, was auf manuelle Manipulation hinweist.
Alle Pakete teilen sich denselben Befehls-Endpunkt, Tippfehler und Build-Artefakte. Zwei Pakete verwenden identische kompilierte Dateien. Ein anderes Paket hängt direkt vom anderen ab. Diese Verbindungen deuten auf einen einzelnen Akteur hin, der denselben Workflow verwendet.
Zurückruf-Anforderungen wurden von Sicherheitsforschern bei npm eingereicht. Private Schlüssel, die durch diesen Angriff verloren gingen, sind kompromittiert, und alle damit verbundenen Mittel sollten schnell in eine neue Wallet verschoben werden.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
