dYdX é alvo enquanto pacotes maliciosos esvaziam as carteiras dos usuários

Pesquisadores revelaram que atores mal-intencionados estão mirando na dYdX e usando pacotes maliciosos para esvaziar as carteiras de seus usuários. De acordo com o relatório, alguns pacotes de código aberto publicados nos repositórios npm e PyPi foram adulterados com código que roubava credenciais de carteiras dos desenvolvedores da dYdX e dos sistemas de back-end.

A dYdX é uma exchange descentralizada de derivativos que oferece suporte a centenas de mercados para negociação perpétua. No relatório, pesquisadores da empresa de segurança Socket mencionaram que todas as aplicações que utilizam as versões comprometidas do npm estão em risco. Eles afirmaram que o impacto direto dos ataques incluiu a violação completa de carteiras e roubos de criptomoedas. O escopo do ataque abrange todas as aplicações que dependem da versão comprometida, tanto no teste de desenvolvedores com credenciais reais quanto nos usuários finais em produção.

Pacotes maliciosos violam carteiras associadas à dYdX

De acordo com o relatório, alguns dos pacotes infectados incluem npm (@dydxprotocol/v4-client-js): (versões 3.4.1, 1.22.1, 1.15.2, 1.0.31) e PyPI (dydx-v4-client): (versão 1.1.5post1). A Socket mencionou que a plataforma processou mais de US$ 1,5 trilhão em volume de negociação desde o seu lançamento na indústria de finanças descentralizadas (DeFi), com um volume de negociação médio de US$ 200 milhões a US$ 540 milhões. Além disso, a plataforma também possui cerca de US$ 175 milhões em interesse aberto.

A exchange fornece bibliotecas de código que permitem que aplicativos de terceiros, como bots de negociação, estratégias automatizadas ou serviços de back-end, utilizem mnemônicos ou chaves privadas para assinatura. O malware do npm incorporou uma função maliciosa no pacote legítimo. Quando uma frase semente que sustenta a segurança de uma carteira é processada, a função a copia junto com uma impressão digital do dispositivo que está executando o aplicativo.

A impressão digital permite que o ator malicioso corresponda as credenciais roubadas às vítimas em várias violações. O domínio que recebe as frases semente é dydx[.]priceoracle[.]site, que imita o serviço legítimo da dYdX em dydx[.]xyz por meio de typosquatting. O código malicioso disponível no PyPI continuou com a mesma função de roubo de credenciais, embora implemente um Trojan de Acesso Remoto (RAT) que permite a execução de novos malwares em sistemas já infectados.

Os pesquisadores observaram que o backdoor recebia comandos do dydx[.]priceoracle[.]site, acrescentando que o domínio foi criado e registrado em 9 de janeiro, 17 dias antes do upload do pacote malicioso para o PyPI. De acordo com a Socket, o RAT é executado como um thread de daemon em segundo plano, faz beacons para o servidor C2 em intervalos de 10 segundos, recebe código Python do servidor e o executa em um subprocesso isolado sem saída visível. Além disso, ele também usa um token de autorização codificado.

Novo ataque destaca tendência perturbadora

A Socket acrescentou que, uma vez instalados, os atores maliciosos eram capazes de executar código Python arbitrário com privilégios de usuário, roubar chaves SSH, credenciais de API e código-fonte. Além disso, eles também podiam instalar backdoors persistentes, exfiltrar arquivos sensíveis, monitorar a atividade do usuário e modificar arquivos críticos. Os pesquisadores acrescentaram que os pacotes foram publicados no npm e no PyPI usando contas oficiais da dYdX, o que significava que elas haviam sido comprometidas e usadas pelos atacantes.

Enquanto a dYdX ainda não emitiu uma declaração abordando o problema, esta é pelo menos a terceira vez que ela foi alvo de ataques. O incidente anterior ocorreu em setembro de 2022, quando um código malicioso foi carregado no repositório npm. Em 2024, o site da dYdX foi assumido após o site da V3 ser sequestrado por meio de DNS. Os usuários foram redirecionados para um site malicioso que os instava a assinar transações projetadas para drenar suas carteiras.

A Socket afirmou que este último incidente destaca um padrão perturbador de adversários mirando em ativos relacionados à dYdX usando canais de distribuição confiáveis. Ela observou que os atacantes comprometeram propositalmente pacotes nos ecossistemas npm e PyPI para expandir a superfície de ataque e alcançar desenvolvedores de JavaScript e Python que trabalham com a plataforma. Qualquer pessoa que use a plataforma deve examinar cuidadosamente todas as aplicações em busca de dependências dos pacotes maliciosos.