dYdX ciblé : des packages malveillants vident les portefeuilles des utilisateurs

Des chercheurs ont révélé que des acteurs malveillants ciblent dYdX et utilisent des packages malveillants pour vider les portefeuilles de ses utilisateurs. Selon le rapport, certains packages open source publiés sur les dépôts npm et PyPi étaient chargés de code qui volait les identifiants des portefeuilles des développeurs de dYdX et des systèmes backend.

dYdX est un échange de dérivés décentralisé qui prend en charge des centaines de marchés pour le trading perpétuel. Dans le rapport, des chercheurs de la société de sécurité Socket ont mentionné que toutes les applications utilisant les versions compromises de npm étaient à risque. Ils ont affirmé que l'impact direct des attaques a inclus la compromission complète des portefeuilles et des vols de cryptomonnaies. La portée de l'attaque comprend toutes les applications qui dépendent de la version compromise, ainsi que les tests des développeurs avec de vraidentielles et les utilisateurs finaux en production.

Des packages malveillants compromettent les portefeuilles associés à dYdX

Selon le rapport, certains des packages infectés incluent npm (@dydxprotocol/v4-client-js) : (versions 3.4.1, 1.22.1, 1.15.2, 1.0.31) et PyPI (dydx-v4-client) : (version 1.1.5post1). Socket a mentionné que la plateforme a traité plus de 1,5 billion de dollars de volume de négociation depuis ses débuts dans l'industrie de la finance décentralisée, avec un volume de négociation moyen de 200 millions à 540 millions de dollars. De plus, la plateforme possède également environ 175 millions de dollars d'intérêt ouvert.

L'échange fournit des bibliothèques de code qui permettent aux applications tierces de créer des bots de trading, des stratégies automatisées ou des services backend, qui impliquent tous des phrases mnémotechniques ou des clés privées pour la signature. Le malware npm a intégré une fonction malveillante dans le package légitime. Lorsqu'une phrase de récupération (seed phrase) qui sous-tend la sécurité d'un portefeuille est traitée, la fonction la copie ainsi qu'une empreinte de l'appareil exécutant l'application.

L'empreinte permet à l'acteur malveillant de faire correspondre les identifiants volés aux victimes à travers plusieurs compromissions. Le domaine recevant les phrases de récupération est dydx[.]priceoracle[.]site, qui imite le service légitime dYdX à dydx[.]xyz par typosquatting. Le code malveillant disponible sur PyPI a continué la même fonction de vol d'identifiants, bien qu'il implémente un cheval de Troie d'accès à distance (RAT) qui permet l'exécution de nouveaux malwares sur les systèmes déjà infectés.

Les chercheurs ont noté que la porte dérobée recevait des commandes de dydx[.]priceoracle[.]site, ajoutant que le domaine avait été créé et enregistré le 9 janvier, 17 jours avant que le package malveillant ne soit téléchargé sur PyPI. Selon Socket, le RAT s'exécute en tant que thread daemon en arrière-plan, effectue des beaconing vers le serveur C2 à un intervalle de 10 secondes, reçoit du code Python du serveur et l'exécute dans un sous-processus isolé sans sortie visible. De plus, il utilise également un jeton d'autorisation codé en dur.

Une nouvelle attaque met en lumière une tendance inquiétante

Socket a ajouté qu'une fois installés, les acteurs malveillants étaient capables d'exécuter du code Python arbitraire avec les privilèges de l'utilisateur, de voler les clés SSH, les identifiants API et le code source. De plus, ils pouvaient également installer des portes dérobées persistantes, exfiltrer des fichiers sensibles, surveiller l'activité des utilisateurs et modifier des fichiers critiques. Les chercheurs ont ajouté que les packages ont été publiés sur npm et PyPI en utilisant les comptes officiels de dYdX, ce qui signifiait qu'ils avaient été compromis et utilisés par les attaquants.

Bien que dYdX n'ait pas encore publié de déclaration pour répondre à la question, il s'agit de la troisième fois qu'il est la cible d'attaques. Le précédent incident s'est produit en septembre 2022, lorsqu'un code malveillant a été téléchargé sur le dépôt npm. En 2024, le site web de dYdX a été détourné après que le site V3 ait été piraté via le DNS. Les utilisateurs ont été redirigés vers un site web malveillant qui les a incités à signer des transactions conçues pour vider leurs portefeuilles.

Socket a affirmé que ce dernier incident met en évidence un schéma inquiétant d'adversaires ciblant les actifs liés à dYdX en utilisant des canaux de distribution de confiance. Il a noté que les attaquants ont sciemment compromis des paquets dans les écosystèmes npm et PyPI pour élargir la surface d'attaque afin de toucher les développeurs JavaScript et Python travaillant avec la plateforme. Toute personne utilisant la plateforme devrait examiner attentivement toutes les applications pour détecter les dépendances aux paquets malveillants.