dYdX стал целью из-за вредоносных пакетов, опустошающих кошельки пользователей

Исследователи выявили, что злоумышленники нацелились на dYdX и используют вредоносные пакеты для опустошения кошельков пользователей. Согласно отчету, некоторые пакеты с открытым исходным кодом, опубликованные в репозиториях npm и PyPi, содержали код, крадущий учетные данные кошельков разработчиков dYdX и бэкенд-систем.

dYdX — это децентрализованная биржа деривативов, поддерживающая сотни рынков для торговли перпетуальными контрактами. В отчете исследователи из компании по кибербезопасности Socket упомянули, что все приложения, использующие скомпрометированные версии пакетов, находятся в опасности. Они заявили, что прямые последствия атак включали полную компрометацию кошельков и кражу криптовалюты. Масштаб атаки охватывает все приложения, зависящие от скомпрометированной версии, как разработчиков, тестирующих с реальными учетными данными, так и конечных пользователей в продакшене.

Вредоносные пакеты взламывают кошельки, связанные с dYdX

Согласно отчету, среди зараженных пакетов оказались npm (@dydxprotocol/v4-client-js): (версии 3.4.1, 1.22.1, 1.15.2, 1.0.31) и PyPI (dydx-v4-client): (версия 1.1.5post1). В Socket отметили, что платформа обработала более 1,5 трлн долларов торгового объема с момента своего выхода на рынок децентрализованных финансов (DeFi), при среднем торговом объеме от 200 млн до 540 млн долларов. Кроме того, на платформе открытая позиция составляет около 175 млн долларов.

Биржа предоставляет библиотеки кода, позволяющие сторонним приложениям для торговых ботов, автоматизированных стратегий или бэкенд-сервисов использовать мнемонические фразы или приватные ключи для подписи. Вредоносное ПО в npm внедрило вредоносную функцию в легитимный пакет. При обработке мнемонической фразы, обеспечивающей безопасность кошелька, функция копирует ее вместе с отпечатком устройства, на котором запущено приложение.

Этот отпечаток позволяет злоумышленнику сопоставить украденные учетные данные с жертвами в ходе нескольких компрометаций. Домен, принимающий мнемонические фразы, — dydx[.]priceoracle[.]site, который имитирует легитимный сервис dYdX по адресу dydx[.]xyz путем тайпсквоттинга. Вредоносный код, доступный на PyPI, продолжил ту же функцию кражи учетных данных, хотя и реализовал троян удаленного доступа (RAT), позволяющий выполнять новое вредоносное ПО на уже зараженных системах.

Исследователи отметили, что бэкдор получал команды с dydx[.]priceoracle[.]site, добавив, что домен был создан и зарегистрирован 9 января, за 17 дней до загрузки вредоносного пакета на PyPI. По данным Socket, RAT работает как фоновый поток демона, отправляет сигналы на сервер C2 с интервалом в 10 секунд, получает Python-код с сервера и выполняет его в изолированном подпроцессе без видимого вывода. Кроме того, он использует жестко закодированный токен авторизации.

Новая атака демонстрирует тревожную тенденцию

В Socket добавили, что после установки злоумышленники смогли выполнять произвольный Python-код с правами пользователя, красть SSH-ключи, учетные данные API и исходный код. Кроме того, они могли устанавливать постоянные бэкдоры, выводить конфиденциальные файлы, отслеживать активность пользователей и изменять критически важные файлы. Исследователи добавили, что пакеты были опубликованы в npm и PyPI с использованием официальных аккаунтов dYdX, что означало их компрометацию и использование злоумышленниками.

Хотя dYdX еще не выпустила заявление по этому поводу, это уже третий случай, когда она становилась целью атак. Предыдущий инцидент произошел в сентябре 2022 года, когда в репозиторий npm был загружен вредоносный код. В 2024 году веб-сайт dYdX был захвачен после того, как сайт V3 был перехвачен через DNS. Пользователи перенаправлялись на вредоносный веб-сайт, который предлагал им подписать транзакции, предназначенные для опустошения их кошельков.

В Socket заявили, что этот последний инцидент подчеркивает тревожную закономерность: противники нацеливаются на активы, связанные с dYdX, используя доверенные каналы распространения. Они отметили, что злоумышленники намеренно компрометировали пакеты в экосистемах npm и PyPI, чтобы расширить поверхность атаки и достичь разработчиков JavaScript и Python, работающих с платформой. Всем, кто использует платформу, следует тщательно проверять все приложения на наличие зависимостей от вредоносных пакетов.