La société de sécurité des logiciels Aikodo a alerté les développeurs de grand livre XRP sur une vulnérabilité du Kit de développement de logiciels XRPL (SDK) qui permet aux pirates de voler des clés privées. L'entreprise axée sur les développeurs a déclaré que la vulnérabilité était dans les versions XRPL 4.2.1 - 4.2.4.
Selon l' entreprise , il a d'abord dent la vulnérabilité le 21 avril, 20:53 GMT + 0, après avoir obtenu une alerte de cinq nouveaux packages ajoutés au XRP L. Un examen plus approfondi a montré que de mauvais acteurs avaient compromis le paquet en ajoutant une porte dérobée pour voler des clés privées.
Il disait :
"Nous avons rapidement confirmé que le package officiel de XPRL (Ripple) a été compromis par des attaquants sophistiqués qui ont mis une porte dérobée pour voler des clés privées de crypto-monnaie et avoir accès aux portefeuilles de crypto-monnaie."
Étant donné que le package a en moyenne 140 000 téléchargements hebdomadaires et que des milliers de sites Web et d'applications l'utilisent, l'dent aurait pu être une attaque de chaîne d'approvisionnement désastreuse pour l'industrie cryptographique.
Selon le rapport, le pirate a utilisé plusieurs versions du package pour tenter de cacher leur sentier et de s'assurer que la vulnérabilité n'était pas visible. Cependant, Aikido a pu ledenten raison de son outil Intel Aikido qui surveille les gestionnaires de packages publics tels que NPM et IdentIfies tout changement de code malveillant.
La Fondation XRPL reconnaît le compromis
Pendant ce temps, la Fondation XRP à but non lucratif derrière le XRP L, a reconnu l'inci dent et déployé une correction à la vulnérabilité. La fondation a déclaré sur X qu'il avait maintenant publié une version 4.2.5 du XRP L en remplacement des versions compromises.
Il a été conseillé aux développeurs qui ont des versions compromises de les remplacer immédiatement. La fondation a également déprécié toutes les versions compromises sur NPM afin que personne ne puisse les télécharger.
Il a également indiqué que les développeurs devraient utiliser le dernier V4.2.5 ou le V2.14.3 beaucoup plus ancien, qui n'a pas été compromis et a ajouté que le problème n'affecte pas la XRP L ou son référentiel GitHub.
La fondation a déclaré:
"Cette vulnérabilité est dans xrpl.js, une bibliothèque JavaScript pour interagir avec le grand livre XRP . Il n'affecte pas la base de code XRP LEDGER ou le référentiel GitHub lui-même. Les projets utilisant XRPL.js doivent passer à V4.2.5 immédiatement."
Jusqu'à présent, plusieurs protocoles sur le réseau ont confirmé que la vulnérabilité les a affectés. Xaman Wallet a noté qu'il utilise l'infrastructure interne et les bibliothèques pour gérer les transactions et les clés privées, tandis que XRPScan a déclaré qu'il utilise une version plus ancienne du XRPL.js et ne traite pas les clés privées.
D'autres, tels que Bitfrost Wallet, DeFi Protocol Opulencex, Memecoin RibbleXRPet la plate-forme de jeu Web3 Gen3 Gen3 ont également confirmé qu'ils ne sont pas affectés.
L'attaque de la chaîne d'approvisionnement XRPL est la dernièredent de mauvais acteurs ciblant des packages de logiciels pour exploiter des projets liés à la crypto.
En mars, les pirates ont ciblé Coinbase dans une attaque de la chaîne d'approvisionnement des actions de GitHub en essayant de briser l'agent open-source de l'échange. Cependant, ils ont échoué et Coinbase a déjoué la tentative, décidant d'attaquer à la place plusieurs référentiels.
Avant cela, les experts en cybersécurité ont découvert que le célèbre groupe de pirates nord-coréens , Lazarus, cible les développeurs de cryptographie utilisant des référentiels NPM et la création de déchets dans des projets. On ne sait pas s'ils sont impliqués dans le
Cryptopolitan Academy: fatiguée des balançoires du marché? Découvrez comment DeFi peut vous aider à créer un revenu passif stable. Inscrivez-vous maintenant
