Le portefeuille Phantom est à l'abri de l'attaque de la chaîne d'approvisionnement Solana

Le portefeuille Phantom est sûr, malgré les spéculations selon lesquelles il aurait pu être compromis dans le cadre d'une attaque de la chaîne d'approvisionnement Solana. Les utilisateurs de Solana ont été exposés après qu'un code malveillant a été injecté dans une bibliothèque Web3 JS pour Solana. 

Le portefeuille Phantom a annoncé qu'il n'était pas affecté par l'attaque de la chaîne d'approvisionnement Solana, qui a été découverte dans l'une des bibliothèques Web3 open source. Le portefeuille n'a signalé aucune exploitation de son côté, bien qu'un nombre inconnu d'utilisateurs puissent avoir été affectés. Le portefeuille lui-même n'utilise aucune des versions compromises. 

Phantom n'est pas impacté par cette vulnérabilité.

Notre équipe de sécurité confirme que nous n'avons jamais utilisé les versions exploitées de @solana/web3.js https://t.co/9wHZ4cnwa1

— Phantom (@phantom) Décembre 3, 2024

Les développeurs et utilisateurs de Solana ont pu être exposés à deux versions malveillantes de web3.js, les versions 1.95.6 et 1.96.7. La version antérieure est sûre, tout comme la mise à jour vers la version 1.95.8.

L'attaque a été remarquée le 2 décembre et a affecté des applications, des bots et des services de garde. La bibliothèque largement utilisée contenait du code qui demandait et diffusait des clés privées, compromettant ainsi les portefeuilles des utilisateurs. 

Selon les registres de la société de développement Anza, le compte a été exposé pendant environ 5 heures le 2 décembre, ce qui a limité le nombre de téléchargements potentiels pendant cette fenêtre de temps. 

Les versions suspectes ont été immédiatement supprimées, mais les applications et les projets peuvent avoir leurs multisignatures ou autres identifiants exposés.

Pour l'instant, il n'y a aucune donnée indiquant que des applications ou des comptes majeurs de Solana ont changé leurs portefeuilles ou leurs systèmes de stockage. La dernière transaction vers le portefeuille de l'exploiteur remonte au 3 décembre, ce qui suggère davantage que l'exploitation a affecté un nombre limité d'utilisateurs. 

En attendant, l'un des portefeuilles identifiés transfère des fonds vers un nouveau compte avec un solde élevé de SOL et d'autres actifs, y compris Jupiter (JUP). Le nouveau compte a été identifié comme un portefeuille à haut solde par Nansen. Aucun des produits du piratage n'a été échangé ou blanchi, contrairement à d'autres vols.

Gains limités des portefeuilles Solana vidés dans exploitation  

Bien que les répercussions soient étendues, l'attaque ne semble pas avoir affecté les portefeuilles à haute valeur. Le portefeuille de l'exploiteur a retiré environ 160 000 $ en SOL et neuf tokens d'une valeur de 31 300 $. L'attaquant a fini par tester des portefeuilles avec des milliards de demandes de transaction, suggérant qu'il peut y avoir beaucoup plus de portefeuilles affectés inconnus. 

L'une des raisons du gain limité de l'exploiteur est que le réseau Solana a encore un taux d'échec de plus de 35 % pour ses transactions. Cependant, les tentatives suggèrent que l'exploiteur a pu obtenir plus de clés privées via des applications exposées. 

L'attaque s'est produite par le biais d'une attaque d'ingénierie sociale, qui a permis aux acteurs malveillants d'accéder au dépôt de la bibliothèque web3.js. Selon les rapports, les développeurs du projet ont reçu un lien de phishing où les attaquants ont demandé et obtenu l'accès. L'ensemble de données malveillant a été signalé et est disponible pour les chercheurs via GitHub.

Les attaques de la chaîne d'approvisionnement ont émergé au cours de l'année dernière, le lecteur Lottie ayant également été utilisé comme vecteur pour accéder aux portefeuilles. Cependant, une ciblage direct des clés privées est un type d'attaque plus rare. Dans le cas des applications Solana, l'exploiteur a réussi à obtenir des clés privées car certaines applications nécessitaient également les mêmes informations à des fins légitimes.

Bien que la plupart des applications Solana se soient révélées sûres, l'afflux récent de nouveaux utilisateurs grand public expose certaines des vulnérabilités potentielles. 

La responsabilité des dépendances et de l'utilisation du code incombe aux projets. Avec une construction rapide, la bibliothèque web3.js a été téléchargée plus de 350 000 à 400 000 fois en une semaine, entraînant une exposition potentielle plus large. 

Les attaques contre les portefeuilles Solana constituent un risque clé

Les draineurs Solana deviennent plus actifs, et l'une des rares choses qui empêche des exploitations plus importantes est le fait que la plupart des portefeuilles contiennent encore moins de 1 SOL. 

L'un des risques est qu'une fois exposé à un draineur, un portefeuille Solana est toujours à risque. Les portefeuilles Solana ne peuvent pas non plus révoquer leurs permissions comme sur Ethereum. 

Le réseau Solana n'est pas encore aussi lourdement exploité qu'Ethereum, mais présente une prévalence d'attaques contre les portefeuilles personnels. L'un des vecteurs inclut Telegram, qui peut être connecté à un portefeuille Solana pour l'utilisation de bots ou un trading plus facile. 

Utiliser les mêmes identifiants Telegram signifie également que le portefeuille peut être exposé et vidé par des applications malveillantes. La meilleure approche consiste à utiliser un portefeuille dédié au stockage et un autre pour les tâches Web3.