- dYdXは、悪意のあるパッケージを使用してユーザーのウォレットを空にする悪意のあるアクターによって標的とされています。
- ハッカーは npm と PyPI に公開されたいくつかのパッケージに悪意のあるコードを仕込み、ウォレットの認証情報を盗んだ。
- 研究者らは、今回の新たな攻撃は dYdX を標的とする攻撃者の懸念すべき傾向を示していると言っている。
研究者らは、悪意のあるアクターがdYdXを標的にし、悪意のあるパッケージを使用してユーザーのウォレットを空にしていると明らかにしました。レポートによれば、npmとPyPiリポジトリに公開された一部オープンソースパッケージには、dYdXの開発者やバックエンドシステムからウォレット資格情報を盗むコードが仕込まれていました。
dYdXは、パーペチュアル取引のための数百の市場をサポートする分散型デリバティブ取引所です。レポートでは、セキュリティ企業のSocketの研究者が、侵害されたnpmバージョンを使用しているすべてのアプリケーションがリスクにさらされていると指摘しました。彼らは、攻撃の直接的な影響には、ウォレットの完全な乗っ取りと暗号通貨の盗難が含まれていると主張しました。攻撃の範囲には、侵害されたバージョンに依存するすべてのアプリケーション、実際の資格情報を使用した開発者のテスト、および本番環境のエンドユーザーが含まれます。
悪意のあるパッケージがdYdXに関連するウォレットに侵入
レポートによれば、感染したパッケージの一部には、npm（@dydxprotocol/v4-client-js）：（3.4.1、1.22.1、1.15.2、1.0.31バージョン）とPyPI（dydx-v4-client）：（1.1.5post1バージョン）が含まれています。Socketは、プラットフォームが分散型金融業界に登場して以来、1.5兆ドル以上の取引量を処理しており、平均取引量は2億ドルから5億4,000万ドルであると述べました。さらに、プラットフォームには約1億7,500万ドルのオープンインタレストもあります。
取引所は、取引ボット、自動化された戦略、または署名にニーモニックまたは秘密鍵を必要とするバックエンドサービスのためのサードパーティアプリケーションを可能にするコードライブラリを提供しています。npmマルウェアは、正規のパッケージに悪意のある関数を埋め込みました。ウォレットのセキュリティを支えるシードフレーズが処理されると、その関数はそれをアプリケーションを実行しているデバイスの指紋と一緒にコピーします。
この指紋により、脅威アクターは複数の侵害にわたって盗まれた資格情報を被害者と照合することができます。シードフレーズを受信するドメインはdydx[.]priceoracle[.]siteであり、これはタイプスクワッティングを通じて正規のdYdXサービスdydx[.]xyzを模倣しています。PyPIで利用可能な悪意のあるコードは、同じ資格情報盗難機能を引き継ぎましたが、すでに感染したシステム上で新しいマルウェアを実行できるリモートアクセストロイの木馬（RAT）を実装しています。
研究者らは、バックドアがdydx[.]priceoracle[.]siteからコマンドを受信したと指摘し、このドメインが悪意のあるパッケージがPyPIにアップロードされる17日前の1月9日に作成および登録されたと付け加えました。Socketによれば、RATはバックグラウンドデーモンスレッドとして実行され、10秒ごとにC2サーバーにビーコンを送信し、サーバーからPythonコードを受信して、表示されない出力を持つ分離されたサブプロセスで実行します。さらに、ハードコードされた認証トークンも使用しています。
新しい攻撃が示す不快な傾向
Socketは、インストールされると、脅威アクターがユーザー権限で任意のPythonコードを実行し、SSHキー、API資格情報、およびソースコードを盗むことができたことを付け加えました。さらに、永続的なバックドアをインストールし、機密ファイルを盗み出し、ユーザーのアクティビティを監視し、重要なファイルを変更することもできました。研究者らは、パッケージが公式のdYdXアカウントを使用してnpmとPyPIに公開されたため、侵害され、攻撃者に使用されたと付け加えました。
dYdXはまだこの問題に対応する声明を発表していませんが、これは少なくとも3回目の攻撃標的となっています。前の事件は2022年9月に、悪意のあるコードがnpmリポジトリにアップロードされた際に発生しました。2024年には、V3ウェブサイトがDNSを通じてハイジャックされた後、dYdXのウェブサイトが乗っ取られました。ユーザーは、ウォレットを空にするように設計されたトランザクションに署名するよう促す悪意のあるウェブサイトにリダイレクトされました。
Socketは、この最新の事件が、信頼できる配布チャネルを使用してdYdX関連の資産を標的とする敵対者の不快なパターンを浮き彫りにしていると主張しました。攻撃者は、プラットフォームを使用するJavaScriptおよびPython開発者に到達するために攻撃表面を拡大するため、npmおよびPyPIエコシステムのパッケージを故意に侵害したと指摘しました。プラットフォームを使用するすべての人は、悪意のあるパッケージへの依存関係についてすべてのアプリケーションを注意深く確認する必要があります。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Owotunse Adebayo
アデバヨは、暗号通貨分野で4年の経験を持つライターです。ラゴス大学で都市・地域計画を専攻し、卒業しました。アデバヨは以前、TokenhellやCryptoTickerで暗号通貨およびフィンテックのニュース記事を書いていました。現在はCryptopolitanのニュース寄稿者として活動しています。
