主要なサプライチェーン攻撃後、Binanceの顧客データや資産はリスクに晒されているか？

取引量で世界最大の暗号資産取引所であるBinanceは、火曜日に、JavaScriptエコシステムに襲いかかった最大のサプライチェーン攻撃の一つにおいて、ユーザーデータや資産が侵害されなかったことを顧客に安心させました。 

Xに投稿された声明によると、Binanceは20億以上の週次アプリダウンロードに関与する広く使用されているNode.jsパッケージを対象とした侵害during a breachにおいて、データベースに害が及ばなかったと述べています。

「私たちは最近のサプライチェーン攻撃、つまり広く使用されているJavaScriptパッケージの悪意のあるバージョンが公開された件を認識しています。調査の結果、私たちは影響を受けておらず、顧客データや資産にリスクはないことを確認しました。セキュリティは私たちの最優先事項です。この侵害は、サプライチェーンセキュリティがいかに重要であるかの reminder です。SAFU（Secure And Safe For Users）であり続けてください。」

ソーシャルプラットフォームでのサプライチェーン攻撃について語った共同創設者、Changpeng Zhao（CZ）は、remarked「オープンソースソフトウェアでさえも、今日では安全ではありません。Web3はWeb2のセキュリティを再定義します。私たちはまだ初期段階です」と述べました。

JavaScriptパッケージへのサプライチェーン攻撃が暗号資産投資家を恐怖に陥れる

セキュリティ研究者によってNPMの歴史の中で最大級の攻撃の一つと見なされているこの攻撃は、9月8日に発生しました。ハッカーは「qix」というハンドルで知られる信頼されたオープンソースメンテナー、Josh Junonのアカウントを侵害しました。 

攻撃者は、npmjs（JavaScriptパッケージの中央リポジトリ）からの公式通信を装ったフィッシングメールを通じてJunonを騙しました。詐欺的なメールで示されているように、犯罪者はJunonに、2025年9月10日までに二段階認証の資格情報を直ちに更新しない限り、アカウントがロックされると説得しました。 

「アカウントセキュリティへの継続的なコミットメントの一環として、すべてのユーザーに二段階認証（2FA）の資格情報の更新を求めています。記録によると、最後の2FA更新から12ヶ月以上が経過していることが判明しました」とメールは読みました。

JunonはX上で、別のメンテナーが彼のNPMアカウントが「バックドアを含むパッケージを投稿していた」と明らかにした後、phishing schemeの犠牲になったことを確認しました。これにより攻撃者は彼のアカウントを乗っ取り、18の人気のNode.jsライブラリに悪意のあるアップデートをプッシュしました。

パッケージには、chalk、debug、ansi-styles、strip-ansiが含まれており、これらはすべてウェブに埋め込まれています。

悪意のあるコードが暗号資産取引を対象とする

Aikido Securityによる分析によると、攻撃者は侵害されたパッケージにコードを注入し、ブラウザベースのインターセプターとして機能できるようにしました。このコードはindex.jsファイルに忍び込ませられ、汚染されたパッケージを使用するあらゆるアプリケーションのネットワークトラフィックやアプリケーションAPIを乗っ取ることができました。

悪意のあるスクリプトは、ビットコイン、イーサリアム、ソラナ、トロン、ライトコイン、ビットコインキャッシュなど、主要なデジタルアセットのウォレットアドレスと取引を監視します。検出されると、マルウェアは静かに宛先ウォレットアドレスを攻撃者が制御するアドレスに置き換え、被害者の知識なしに資金をリダイレクトしました。

昨日Cryptopolitanがcoveredしたように、ハードウェアウォレットメーカーLedgerのCTO、Charles Guillemetは、悪意のあるコードがすでに10億以上のダウンロードを誇るパッケージに拡散されたと述べました。

ブロックチェーン分析企業のArkham Intelligenceは月曜日の夜、これまでに盗まれた暗号資産の価値はわずか159ドルであると報告しました。盗まれた資金は、Ledgerのセキュリティチームによって共有された元の開示で特定されたアドレスに追跡されました。 

しかし、研究者たちは、侵害されたパッケージに関連する数十億のダウンロードを考慮すると、この低い数字が限られた潜在的な損害を意味するわけではないと信じています。