A carteira Phantom está segura do ataque à cadeia de suprimentos da Solana

A carteira Phantom está segura, apesar das especulações de que pode ter sido comprometida como parte de um ataque à cadeia de suprimentos da Solana. Os usuários da Solana foram expostos após código malicioso ser injetado em uma biblioteca Web3 JS para Solana. 

A carteira Phantom anunciou que não foi afetada pelo ataque à cadeia de suprimentos da Solana, que foi descoberto em uma das bibliotecas Web3 de código aberto. A carteira não relatou nenhuma exploração de seu lado, embora um número desconhecido de usuários possa ter sido afetado. A própria carteira não usa nenhuma das versões comprometidas. 

A Phantom não é impactada por esta vulnerabilidade.

Nossa Equipe de Segurança confirma que nunca usamos as versões exploradas do @solana/web3.js https://t.co/9wHZ4cnwa1

— Phantom (@phantom) Dezembro 3, 2024

Os construtores e usuários da Solana podem ter sido expostos a duas versões maliciosas do web3.js, 1.95.6 e 1.96.7. A versão anterior é segura, assim como uma atualização para a versão 1.95.8.

O ataque foi notado em 2 de dezembro e afetou aplicativos, bots e serviços custodiais. A biblioteca amplamente utilizada continha código que solicitava e transmitia chaves privadas, comprometendo assim as carteiras dos usuários. 

Com base nos registros da empresa de desenvolvimento Anza, a conta foi exposta por cerca de 5 horas em 2 de dezembro, o que limitou o número de downloads potenciais durante essa janela de tempo. 

As versões suspeitas foram imediatamente despublicadas, mas aplicativos e projetos podem ter suas credenciais multisig ou outras expostas.

Por enquanto, não há dados sobre nenhum aplicativo ou conta importante da Solana alterando suas carteiras ou armazenamento. A última transação para a carteira do explorador foi de 3 de dezembro, sugerindo ainda mais que a exploração afetou um número limitado de usuários. 

Enquanto isso, uma das carteiras identificadas está movendo fundos para uma nova conta com um alto saldo de SOL e outros ativos, incluindo Jupiter (JUP). A nova conta foi identificada como uma carteira de alto saldo pela Nansen. Nenhum dos lucros do hack foram negociados ou disfarçados, como em outros hacks.

Ganhos limitados de carteiras Solana drenadas em exploit  

Embora de longo alcance, o ataque não parecia afetar carteiras de alto valor. A identificada carteira do explorador retirou cerca de US$ 160K em SOL e nove tokens avaliados em US$ 31.300. O atacante acabou testando carteiras com bilhões de solicitações de transação, sugerindo que pode haver muitas mais carteiras afetadas desconhecidas. 

Uma das razões para o saque limitado da exploração é que a rede Solana ainda tem uma taxa de falha de transações superior a 35%. No entanto, as tentativas sugerem que o explorador pode ter obtido mais chaves privadas por meio de aplicativos expostos. 

O ataque ocorreu por meio de engenharia social, o que permitiu que os agentes maliciosos obtivessem acesso ao repositório da biblioteca web3.js. Relata-se que os desenvolvedores do projeto receberam um link de phishing, onde os atacantes solicitaram e ganharam acesso. O conjunto de dados malicioso foi sinalizou e está disponível para pesquisadores por meio do GitHub.

Os ataques à cadeia de suprimentos surgiram no ano passado, com o Lottie player também sendo usado como vetor para obter acesso às carteiras. No entanto, o direcionamento direto de chaves privadas é um tipo de ataque mais raro. No caso dos aplicativos Solana, o explorador conseguiu obter as chaves privadas, pois alguns aplicativos também exigiam as mesmas informações para fins legítimos.

Embora a maioria dos aplicativos Solana tenha se mostrado segura, a recente onda de novos usuários varejistas está expondo algumas das vulnerabilidades potenciais. 

A responsabilidade pelas dependências de código e seu uso cabe aos projetos. Com o desenvolvimento acelerado, a biblioteca web3.js foi baixada mais de 350 mil a 400 mil vezes em uma semana, levando a uma exposição potencial mais ampla. 

Os ataques a carteiras Solana são um risco chave

Os drenadores de Solana estão se tornando mais ativos, e uma das poucas coisas que impede explorações maiores é o fato de que a maioria das carteiras ainda contém menos de 1 SOL. 

Um dos riscos é que, uma vez exposto a um drenador, uma carteira Solana está sempre em risco. As carteiras Solana também não podem revogar suas permissões como no Ethereum. 

A rede Solana ainda não é tão explorada quanto o Ethereum, mas tem uma prevalência de ataques contra carteiras pessoais. Um dos vetores inclui o Telegram, que pode ser conectado a uma carteira Solana para uso de bots ou negociação mais fácil. 

Usar as mesmas credenciais do Telegram também significa que a carteira pode ser exposta e drenada por aplicativos maliciosos. A melhor abordagem é usar uma carteira dedicada para armazenamento e outra para tarefas Web3.