Các gói mã nguồn mở được công bố trên kho lưu trữ npm và PyPI chứa mã độc đánh cắp thông tin đăng nhập ví điện tử từ các nhà phát triển dYdX và hệ thống máy chủ, và trong một số trường hợp, cài đặt cửa hậu vào thiết bị, các nhà nghiên cứu cho biết.
“Mọi ứng dụng sử dụng các phiên bản npm bị xâm phạm đều có nguy cơ…”, các nhà nghiên cứu từ công ty bảo mật Socket cho biết hôm thứ Sáu . “Tác động trực tiếp bao gồm việc ví điện tử bị xâm phạm hoàn toàn và đánh cắp tiền điện tử không thể phục hồi. Phạm vi tấn công bao gồm tất cả các ứng dụng phụ thuộc vào các phiên bản bị xâm phạm, cũng như cả các nhà phát triển đang thử nghiệm với thông tin đăng nhập thực và người dùng cuối trong môi trường sản xuất.”
Các gói hàng bị nhiễm bệnh bao gồm:
npm ( @dydxprotocol/v4-client-js ):
- 3.4.1
- 1.22.1
- 1.15.2
- 1.0.31
PyPI ( dydx-v4-client ):
- 1.1.5post1
Giao dịch vĩnh cửu, nhắm mục tiêu vĩnh cửu
dYdX là một sàn giao dịch phái sinh phi tập trung hỗ trợ hàng trăm thị trường cho "giao dịch vĩnh cửu", hay việc sử dụng tiền điện tử để đặt cược vào sự tăng hoặc giảm giá trị của hợp đồng tương lai phái sinh. Socket cho biết dYdX đã xử lý hơn 1,5 nghìn tỷ đô la khối lượng giao dịch trong suốt thời gian hoạt động, với khối lượng giao dịch trung bình từ 200 triệu đến 540 triệu đô la và khoảng 175 triệu đô la giá trị hợp đồng mở. Sàn giao dịch này cung cấp các thư viện mã cho phép các ứng dụng của bên thứ ba dành cho bot giao dịch, chiến lược tự động hoặc dịch vụ phụ trợ, tất cả đều xử lý các cụm từ ghi nhớ hoặc khóa riêng tư để ký.
Phần mềm độc hại npm đã nhúng một hàm độc hại vào gói phần mềm hợp pháp. Khi một cụm từ hạt giống (seed phrase) dùng để bảo mật ví điện tử được xử lý, hàm này đã đánh cắp cụm từ đó, cùng với dấu vân tay của thiết bị đang chạy ứng dụng. Dấu vân tay này cho phép kẻ tấn công đối chiếu thông tin đăng nhập bị đánh cắp để theo dõi nạn nhân qua nhiều lần xâm nhập. Tên miền nhận được cụm từ hạt giống là dydx[.]priceoracle[.]site, bắt chước dịch vụ dYdX hợp pháp tại dydx[.]xyz thông qua việc chiếm đoạt tên miền bằng lỗi chính tả (typosquatting).
