XRP Ledger Foundation bestätigt SDK-Sicherheitslücke und veröffentlicht dringenden Fix

Das Software-Sicherheitsunternehmen Aikodo hat XRP Ledger-Entwickler auf eine Sicherheitslücke im XRP-Ledger-Softwareentwicklungskit (SDK) aufmerksam gemacht, die es Hackern ermöglicht, private Schlüssel zu stehlen. Laut Aikodo betrifft die Sicherheitslücke XRP-Ledger-Versionen 4.2.1 bis 4.2.4.

Laut dem Unternehmenwurde die Sicherheitslücke erstmalsdent, nachdem eine Warnung über fünf neu hinzugefügte Pakete im XRP-L-Paket eingegangen war. Eine genauere Untersuchung ergab, dass Angreifer das Paket durch das Hinzufügen einer Hintertür kompromittiert hatten, um private Schlüssel zu stehlen.

Es hieß:

„Wir konnten schnell bestätigen, dass das offizielle XPRL (Ripple) NPM-Paket von raffinierten Angreifern kompromittiert wurde, die eine Hintertür eingebaut haben, um private Schlüssel von Kryptowährungen zu stehlen und Zugriff auf Kryptowährungs-Wallets zu erlangen.“

Angesichts der Tatsache, dass das Paket durchschnittlich 140.000 Mal pro Woche heruntergeladen wird und von Tausenden von Websites und Anwendungen genutzt wird, hätte derdent ein verheerender Lieferkettenangriff für die Kryptoindustrie sein können.

Dem Bericht zufolge nutzte der Hacker mehrere Versionen des Pakets, um seine Spuren zu verwischen und die Sicherheitslücke zu verschleiern. Aikido konnte sie jedoch mithilfe seines Tools „Aikido Intel“dent, das öffentliche Paketmanager wie NPM überwacht und schädliche Codeänderungendent.

XRPL Foundation räumt Kompromiss ein

Die Die XRPL Foundation, die gemeinnützige Organisation hinter dem XRPXRPXRPXRPXRPdent veröffentlicht hat XRPXRPXRPXRP.

Entwickler, die die betroffenen Versionen verwenden, wurden aufgefordert, diese umgehend zu ersetzen. Die Stiftung hat außerdem alle betroffenen Versionen auf NPM als veraltet markiert, sodass sie nicht mehr heruntergeladen werden können.

Es wurde außerdem empfohlen, dass Entwickler die neueste Version v4.2.5 oder die viel ältere Version v2.14.3 verwenden sollten, die nicht betroffen sei, und hinzugefügt, dass das Problem weder die XRPL- Codebasis noch deren GitHub-Repository betrifft.

Die Stiftung erklärte:

„Diese Sicherheitslücke befindet sich in xrpl.js, einer JavaScript-Bibliothek zur Interaktion mit dem XRP Ledger. Sie betrifft NICHT die Quellcodebasis XRP Ledger oder das GitHub-Repository selbst. Projekte, die xrpl.js verwenden, sollten umgehend auf Version 4.2.5 aktualisiert werden.“

Bislang haben mehrere Protokolle im Netzwerk bestätigt, dass die Sicherheitslücke sie betroffen hat. Xaman Wallet gab an, eigene Infrastruktur und Bibliotheken für die Abwicklung von Transaktionen und privaten Schlüsseln zu verwenden, während XRPScan erklärte, eine ältere Version von xrpl.js zu nutzen und keine privaten Schlüssel zu verarbeiten.

Andere Anbieter, wie die Bitfrost-Wallet, DeFi -Protokoll OpulenceX, der Memecoin RibbleXRPund die Web3-Gaming-Plattform Gen3 Games, haben ebenfalls bestätigt, dass sie nicht betroffen sind.

Lieferkettenangriffe im Zusammenhang mit Kryptowährungen nehmen zu

Der Angriff auf die Lieferkette XRPL ist der jüngstedent bei dem böswillige Akteure Softwarepakete ins Visier nehmen, um Krypto-bezogene Projekte auszunutzen.

Im März versuchten Hacker, Coinbase mit einem GitHub-Actions-Lieferkettenangriff zu kompromittieren, indem sie das Open-Source-System AgentKit der Börse knacken wollten. Dieser Versuch scheiterte jedoch, und Coinbase vereitelte ihn, indem das Unternehmen stattdessen mehrere Repositories angriff.

Zuvor hatten Cybersicherheitsexperten entdeckt, dass die berüchtigte nordkoreanische HackergruppeLazarus Krypto-Entwickler mithilfe von NPM-Repositories ins Visier nimmt und Hintertüren in Projekte einbaut. Es ist unklar, ob sie in … involviert sind.