dYdX成为目标，恶意软件包清空其用户钱包

研究人员透露，不良行为者正针对dYdX，并使用恶意软件包清空其用户钱包。根据报告，发布在npm和PyPi存储库中的一些开源软件包中嵌入了从dYdX开发人员和后端系统窃取钱包凭据的代码。

dYdX是一个去中心化衍生品交易所，支持数百个永续交易市场。在该报告中，安全公司Socket的研究人员提到，所有使用受影响npm版本的应用程序都存在风险。他们声称，攻击的直接后果包括钱包完全被控和加密货币被盗。攻击范围包括所有依赖受影响版本的应用程序，以及使用真实凭据进行开发的开发人员测试和生产环境终端用户。

恶意软件包入侵与dYdX关联的钱包

根据报告，受感染的软件包包括npm (@dydxprotocol/v4-client-js)：(3.4.1, 1.22.1, 1.15.2, 1.0.31版本) 和 PyPI (dydx-v4-client)：(1.1.5post1版本)。Socket提到，自其在去中心化金融行业首次亮相以来，该平台已处理超过1.5万亿美元的交易量，平均交易量为2亿美元至5.4亿美元。此外，该平台还有约1.75亿美元的未平仓合约。

该交易所提供代码库，允许第三方应用程序用于交易机器人、自动化策略或后端服务，所有这些服务都涉及用于签名的助记词或私钥。npm恶意软件在合法软件包中嵌入了恶意函数。当处理支撑钱包安全的种子短语时，该函数会将其连同运行应用程序的设备指纹一起复制。

该指纹允许威胁行为者将被盗凭据与多个受侵受害者进行匹配。接收种子短语的域名是dydx[.]priceoracle[.]site，它通过域名抢注模仿合法的dYdX服务dydx[.]xyz。PyPI上可用的恶意代码继续执行相同的凭据窃取功能，尽管它实现了一个远程访问特洛伊木马（RAT），允许在已感染的系统上执行新的恶意软件。

研究人员指出，后门从dydx[.]priceoracle[.]site接收命令，并补充说该域名于1月9日创建和注册，比恶意软件包上传到PyPI早17天。根据Socket的说法，RAT作为后台守护线程运行，以10秒的间隔向C2服务器发送信标，从服务器接收Python代码，并在无可见输出的隔离子进程中执行它。此外，它还使用硬编码的授权令牌。

新攻击展示了令人不安的趋势

Socket补充说，一旦安装，威胁行为者 能够以用户权限执行任意Python代码，窃取SSH密钥、API凭据和源代码。此外，他们还可以安装持久后门，窃取敏感文件，监控用户活动，并修改关键文件。研究人员补充说，这些软件包是使用官方dYdX账户发布到npm和PyPI的，这意味着它们已被攻破并被攻击者使用。

虽然dYdX尚未发布解决该问题的声明，但这至少是它第三次成为攻击目标。上一次事件发生在2022年9月，当时恶意代码被上传到npm存储库。2024年，dYdX网站在V3网站通过DNS被劫持后被接管。用户被重定向到一个恶意网站，提示他们签署旨在清空其钱包的交易。

Socket声称，这一最新事件凸显了对手利用可信分发渠道针对dYdX相关资产的令人不安的模式。它指出，攻击者故意攻破npm和PyPI生态系统中的软件包，以扩大攻击面，从而接触到使用该平台JavaScript和Python开发人员。任何使用该平台的人都应仔细检查所有应用程序是否依赖恶意软件包。