dYdX preso di mira: pacchetti malevoli svuotano i portafogli degli utenti

I ricercatori hanno rivelato che cattivi attori stanno prendendo di mira dYdX e utilizzando pacchetti malevoli per svuotare i portafogli dei suoi utenti. Secondo il rapporto, alcuni pacchetti open source pubblicati sui repository npm e PyPi erano infettati da codice che rubava le credenziali dei portafogli dagli sviluppatori di dYdX e dai sistemi backend.

dYdX è un exchange decentralizzato di derivati che supporta centinaia di mercati per il trading perpetuo. Nel rapporto, i ricercatori della società di sicurezza Socket hanno menzionato che tutte le applicazioni che utilizzano le versioni compromesse di npm sono a rischio. Hanno affermato che l'impatto diretto degli attacchi ha incluso la compromissione completa dei portafogli e furti di criptovalute. L'ambito dell'attacco include tutte le applicazioni che dipendono dalla versione compromessa, sia per i test degli sviluppatori con credenziali reali che per gli utenti finali in produzione.

Pacchetti malevoli violano i portafogli associati a dYdX

Secondo l'report, alcuni dei pacchetti che sono stati infettati includono npm (@dydxprotocol/v4-client-js):(versioni 3.4.1, 1.22.1, 1.15.2, 1.0.31) e PyPI (dydx-v4-client): (versione 1.1.5post1). Socket ha menzionato che la piattaforma ha elaborato più di $1,5 trilioni di volume di trading dal suo debutto nel settore della finanza decentralizzata, con un volume di trading medio di $200 milioni - $540 milioni. Inoltre, la piattaforma ha anche circa $175 milioni di open interest.

L'exchange fornisce librerie di codice che permettono a applicazioni di terze parti per bot di trading, strategie automatizzate o servizi backend, tutte le quali coinvolgono mnemoniche o chiavi private per la firma. Il malware npm ha incorporato una funzione malevola nel pacchetto legittimo. Quando una frase seed che sostiene la sicurezza di un portafoglio viene elaborata, la funzione la copia insieme a un'impronta digitale del dispositivo che esegue l'applicazione.

L'impronta digitale permette all'attore della minaccia di abbinare le credenziali rubate alle vittime attraverso diversi compromessi. Il dominio che riceve le frasi seed è dydx[.]priceoracle[.]site, che imita il servizio legittimo dYdX su dydx[.]xyz attraverso il typosquatting. Il codice malevolo disponibile su PyPI ha continuato la stessa funzione di furto di credenziali, anche se implementa un Trojan di accesso remoto (RAT) che permette l'esecuzione di nuovo malware sui sistemi già infettati.

I ricercatori hanno notato che la backdoor ha ricevuto comandi da dydx[.]priceoracle[.]site, aggiungendo che il dominio è stato creato e registrato il 9 gennaio, 17 giorni prima che il pacchetto malevolo fosse caricato su PyPI. Secondo Socket, il RAT viene eseguito come un thread daemon in background, effettua beaconing al server C2 a intervalli di 10 secondi, riceve codice Python dal server ed lo esegue in un sottoprocesso isolato senza output visibile. Inoltre, utilizza anche un token di autorizzazione hard-coded.

Un nuovo attacco mostra una tendenza inquietante

Socket ha aggiunto che una volta installato, gli attori della minaccia sono stati in grado di eseguire codice Python arbitrario con privilegi utente, rubare chiavi SSH, credenziali API e codice sorgente. Inoltre, potevano anche installare backdoor persistenti, esfiltrare file sensibili, monitorare l'attività degli utenti e modificare file critici. I ricercatori hanno aggiunto che i pacchetti sono stati pubblicati su npm e PyPI utilizzando account ufficiali di dYdX, il che significava che erano stati compromessi e utilizzati dagli attaccanti.

Mentre dYdX non ha ancora rilasciato una dichiarazione per affrontare il problema, questa è almeno la terza volta che è stato preso di mira negli attacchi. Il precedente incidente si è verificato a settembre 2022 quando un codice malevolo è stato caricato sul repository npm. Nel 2024, il sito web di dYdX è stato dirottato dopo che il sito web V3 è stato hijackato tramite DNS. Gli utenti sono stati reindirizzati a un sito web malevolo che li ha invitati a firmare transazioni progettate per svuotare i loro portafogli.

Socket ha affermato che questo ultimo incidente evidenzia una tendenza inquietante di avversari che prendono di mira le attività correlate a dYdX utilizzando canali di distribuzione fidati. Ha notato che gli attaccanti hanno consapevolmente compromesso i pacchetti negli ecosistemi npm e PyPI per espandere la superficie di attacco e raggiungere gli sviluppatori JavaScript e Python che lavorano con la piattaforma. Chiunque utilizzi la piattaforma dovrebbe esaminare attentamente tutte le applicazioni per dipendenze dai pacchetti malevoli.