Portafoglio Copay compromesso da malware che ruba chiavi private

Copay, il portafoglio multi-firma di Bitcoin si considera un "portafoglio Bitcoin sicuro e condiviso", ma a quanto pare non lo è più da qualche mese. Lunedì, BitPay ha informato i suoi utenti dell'attacco di un malware al suo portafoglio pubblico e che il malware potrebbe aver ottenuto l'accesso alle chiavi private degli utenti.

Secondo la società di pagamenti blockchain, gli utenti dovrebbero aspettarsi che le chiavi private dei wallet contenenti il ​​malware non siano protette. A questo proposito, gli utenti delle versioni dalla 5.0.2 alla 5.1.0 delle applicazioni Copay e BitPay sono considerati le principali vittime e dovrebbero trasferire tutti i loro fondi alla versione 5.2.0 dell'applicazione.

Il problema si è verificato a causa di un codice infetto inserito nell'event-stream, il modulo di Node.js. Questo codice è stato inserito da un nuovo utente a cui il fondatore originale aveva concesso l'accesso alla libreria JavaScript tre mesi fa. Dominic Tarr, precedente sostenitore del supporto JavaScript, ha dichiarato di aver affidato l'incarico al nuovo utente, che era disposto a occuparsi della manutenzione del modulo.

Il nuovo responsabile ha continuato a distribuire il nuovo modulo Event-Stream 3.3.6, che include una libreria flat-map contenente il codice infetto. Su GitHub, Ayrton ha affermato che il nuovo responsabile ha aggiunto Event-Stream, il che non rappresenta un miglioramento per il codice principale.

Questo codice infetto può essere eseguito solo se eseguito all'interno del codice sorgente di Copay, da cui possono essere rubate le informazioni utente di un portafoglio, come le chiavi private. Queste informazioni vengono quindi inviate all'URL host dell'API di Copay sulla porta 8080. Nicolas Noble, un utente dell'applicazione, afferma che la presenza di codice dannoso e Copay-dash nell'applicazione comporta il furto dei Bitcoinin essa contenuti.

BitPay ha affermato che questa applicazione non è stata protetta da alcun codice infetto e che l'azienda sta ancora verificando se qualche utente sia stato infettato dal codice. BitPay ha avvisato i propri utenti di non trasferire i fondi sui nuovi wallet, poiché così facendo l'infezione si sposterebbe anche nei loro wallet. Ha inoltre consigliato agli utenti di aggiornare la versione del wallet interessato (5.0.25.1.0) e di iniziare a utilizzare i nuovi wallet con la versione 5.2.0 per il trasferimento di fondi, utilizzando la funzione Send Max per avviare le transazioni di tutti i fondi.