Desenvolvedores de Solana e Ethereum atacados por pacotes npm typosquat
- Um atacante publicou cinco pacotes npm maliciosos direcionados a desenvolvedores Ethereum e Solana.
- Os pacotes roubam chaves privadas e as enviam ao atacante via Telegram.
- O ataque depende de typosquatting, replicando bibliotecas legítimas de criptomoedas.
Desenvolvedores de Ethereum e Solana foram alvo de cinco pacotes npm maliciosos que roubam chaves privadas e as enviam ao atacante. Os pacotes dependem de typosquatting, imitando bibliotecas cripto legítimas.
Pesquisadores de segurança da Socket encontraram os cinco pacotes npm maliciosos publicados sob uma única conta. A campanha maliciosa abrange os ecossistemas Ethereum e Solana, com infraestrutura de comando e controle (C2) ativa.
Um dos pacotes foi despublicado dentro de cinco minutos, mas ocultou seu código e enviou dados roubados ao atacante.
Hackers visam desenvolvedores de Ethereum e Solana
Crypto hackers do not only target retail investors and the elderly. They rely on social engineering tactics and typosquatting to trick developers and steal their crypto.
A função dos pacotes maliciosos é desviar as chaves para um bot do Telegram codificado.
O ataque malicioso ao npm funciona conectando-se a funções que os desenvolvedores usam para passar chaves privadas. Quando uma função é chamada, o pacote envia a chave para o bot do Telegram do atacante antes de retornar o resultado esperado. Isso torna o ataque invisível para os desenvolvedores desprevenidos.
De acordo com pesquisadores de segurança, quatro pacotes visam desenvolvedores de Solana, enquanto um visa desenvolvedores de Ethereum.
Os quatro pacotes que visam Solana interceptam chamadas de Base58 decode(), enquanto o pacote ethersproject-wallet visa o construtor da Carteira Ethereum.
Todos os pacotes maliciosos dependem do fetch global, que requer Node.js 18 ou posterior. Em versões mais antigas, a solicitação falha silenciosamente e nenhum dado é roubado.
Todos os pacotes enviam dados para o mesmo ponto de extremidade Telegram. O token do bot e o ID do chat estão codificados em cada pacote, e não há servidor externo, então o canal funciona enquanto o bot do Telegram permanecer online.
O pacote raydium-bs58 é o mais simples. Ele modifica uma função de decode e envia a chave antes de retornar o resultado. O README é copiado de um SDK legítimo, e o campo do autor está vazio.
O segundo pacote Solana, base-x-64, oculta a carga útil com ofuscação. A carga útil envia uma mensagem para o Telegram com a chave roubada.
O pacote bs58-basic não contém código malicioso em si, mas depende do base-x-64 e passa a carga útil pela cadeia.
O pacote Ethereum, ethersproject-wallet, copia uma biblioteca real, @ethersproject/wallet. O pacote malicioso insere uma linha extra após a compilação. A alteração aparece apenas no arquivo compilado, o que confirma a adulteração manual.
Todos os pacotes compartilham o mesmo ponto de extremidade de comando, erros de digitação e artefatos de build. Dois pacotes usam arquivos compilados idênticos. Outro pacote depende diretamente do outro. Esses links apontam para um único ator usando o mesmo fluxo de trabalho.
Solicitações de remoção foram enviadas ao npm por pesquisadores de segurança. As chaves privadas perdidas neste ataque estão comprometidas e quaisquer fundos associados devem ser movidos rapidamente para uma nova carteira.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
