8. Rujna se dogodio značajan hack i napad na open-source JavaScript ekosustav koji je mogao imati mnogo veće posljedice nego što je imao ali srećom nije. U napadu je kompromitiran NPM developer nalog poznatog developera, qix koji održava kodni sustav mnogih open-source paketa. Nakon što su hakeri preuzeli njegov nalog, pustili su u opticaj zlonamjerne update-te oko
20 JavaScript paketa. Ovi paketi se koriste i preuzimaju oko
2 milijarde puta tjedno i od različitih usluga u kripto softver ekosustavu.
qix je dobio
phishing email koji je ličio na poruku NPM korisničke službe nakon čega je resetovao svoju šifru i 2FA i na taj način hakeru dao pristup svom nalogu.
Zlonamjerne verzije koda su objavljene 8. Rujna. Vrlo brzo su prepoznate kao takve i kompromitovani JavaScript paketi su uklonjeni poslje par sati. Pretpostavlja se da su oko 2 sata zlonamjerne verzije bile javno dostupne i da su i preuzete od određenih softvera u vidu update-a. Zapravo, mali postotak softvera je izvršio update.
Modifikacije koda su srećom i igrom slučaja otkrivene nakon što je jedan od kompromitovanih paketa javljao grešku. Nakon pregleda, developeri su otkrili sumnjive funkcije i novi kod. Da je to spretnije odrađeno, pitanje je kad bi se kompromitovani paketi otkrili.
Zlonamjerni kod je zapravo bio
clipboard malware, kreiran da promjeni adresu na koju žrtva šalje kripto u adresu pod kontrolom hakera. Ovaj malware je tražio i napadao web i softverske novčanike koje koriste JavaScript, kakav je npr.
MetaMask za desktop. Ali i neki softverski novčanici od poznatih hardverskih kompanija navodno koriste JavaScript kao što su
Ledger Live ili Trezor Suite. Ovo nije potvrđeno i predstavnici svih kompanija i developeri walleta su u većini slučajeve preko X objavili da njihovi softveri nisu kompromitovani niti da koriste izmijenjene pakete.
Malware je koristio poseban algoritam koji je birao adrese koje najviše liče na one adrese na koje su žrtve slale kripto kako bi spriječio da se otkrije.
Iako je napad mogao da uzrokuje veliku štetu da nije brzo primječen, da nisu neki paketi javljali greške, i da su poznati web wallet-i ili mjenačnice povukle update kompromitovanih JavaScript paketa, srećom to se nije desilo. Neki izvori tvrde da je ukradeno oko $500 u kriptu u različitim valutama dok drugi smatraju da je ukradeno svega $20.
Ovakvim napadom nisu pogođeni walleti koji
ne koriste JavaScript pakete. U to spadaju popularni hardverski novčanici koji imaju ekran na kojem možete provjeriti adresu na koju šaljete i gdje biste vidjeli ako nešto nije uredu čak i ako vam softver pokazuje nešto drugo. Od popularnih sotverskih novčanika, nisu pogođeni
Sparrow, Electrum, Wasabi, Nunchuk, itd. Najrizičniji su web walleti kao MetaMask, Rabby itd. Vjerovatno i kripto mjenačnice koriste JavaScript ekosustav.
Ovaj put hakerima nije pošlo za rukom. Ali će sigurno naučiti nešto iz ovoga i vratiti se sa boljim planom u budućnosti...
Detaljan izvještaj o ovom slučaju možete pročitati ovdje:
https://jdstaerk.substack.com/p/we-just-found-malicious-code-in-the
