Các nhà nghiên cứu phát hiện ra Backdoor trong thư viện npm Web3.js phổ biến của Solana
Các nhà nghiên cứu an ninh mạng đang cảnh báo về một cuộc tấn công chuỗi cung ứng phần mềm nhắm vào thư viện npm @solana/web3.js phổ biến liên quan đến việc đẩy hai phiên bản độc hại có khả năng thu thập khóa riêng tư của người dùng với mục đích rút tiền điện tử của họ.
Cuộc tấn công đã được phát hiện trong phiên bản 1.95.6 và 1.95.7. Cả hai phiên bản này đều không còn có thể tải xuống từ sổ đăng ký npm. Gói này được sử dụng rộng rãi, thu hút hơn 400.000 lượt tải xuống hàng tuần.
Socket cho biết trong một báo cáo rằng: "Những phiên bản bị xâm phạm này chứa mã độc được thiết kế để đánh cắp khóa riêng tư từ các nhà phát triển và người dùng không nghi ngờ, có khả năng cho phép kẻ tấn công rút tiền trong ví tiền điện tử" .
@solana/web3.js là một gói npm có thể được sử dụng để tương tác với bộ phát triển phần mềm JavaScript (SDK) Solana nhằm xây dựng Node.js và các ứng dụng web.
Theo nhà nghiên cứu bảo mật Christophe Tafani-Dereeper của Datadog , "cửa hậu được chèn vào v1.95.7 sẽ thêm hàm 'addToQueue' để lấy khóa riêng thông qua các tiêu đề CloudFlare có vẻ hợp lệ" và "các lệnh gọi đến hàm này sau đó được chèn vào nhiều nơi khác nhau để truy cập (hợp lệ) vào khóa riêng".
Máy chủ chỉ huy và điều khiển (C2) mà các khóa được chuyển đến ("sol-rpc\[.\]xyz") hiện đang ngừng hoạt động. Máy chủ này được đăng ký vào ngày 22 tháng 11 năm 2024, trên công ty đăng ký tên miền NameSilo.
Người ta nghi ngờ rằng những người bảo trì gói npm đã trở thành nạn nhân của một cuộc tấn công lừa đảo cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản và phát hành các phiên bản giả mạo.
"Một tài khoản truy cập xuất bản đã bị xâm phạm đối với @solana/web3.js, một thư viện JavaScript thường được các dApp Solana sử dụng", Steven Luscher, một trong những người bảo trì thư viện, cho biết trong ghi chú phát hành phiên bản 1.95.8.
"Điều này cho phép kẻ tấn công công bố các gói tin trái phép và độc hại đã được sửa đổi, cho phép chúng đánh cắp tài liệu khóa riêng tư và rút tiền từ các dApp, như bot, xử lý khóa riêng tư trực tiếp. Vấn đề này sẽ không ảnh hưởng đến các ví không lưu ký, vì chúng thường không tiết lộ khóa riêng tư trong quá trình giao dịch."
Luscher cũng lưu ý rằng sự cố này chỉ ảnh hưởng đến các dự án xử lý trực tiếp khóa riêng tư và được cập nhật trong khoảng thời gian từ 3:20 chiều UTC đến 8:25 tối UTC ngày 2 tháng 12 năm 2024.
Người dùng đang dựa vào @solana/web3.js làm phần phụ thuộc được khuyên nên cập nhật lên phiên bản mới nhất càng sớm càng tốt và tùy chọn thay đổi khóa xác thực nếu họ nghi ngờ chúng bị xâm phạm.
Việc tiết lộ này được đưa ra vài ngày sau khi Socket cảnh báo về một gói npm giả mạo theo chủ đề Solana có tên solana-systemprogram-utils được thiết kế để lén lút chuyển tiền của người dùng đến một địa chỉ ví được mã hóa cứng do kẻ tấn công kiểm soát trong 2% giao dịch.
"Mã này khéo léo che giấu ý định của mình bằng cách hoạt động bình thường 98% thời gian", Nhóm nghiên cứu Socket cho biết . "Thiết kế này giảm thiểu sự nghi ngờ trong khi vẫn cho phép kẻ tấn công rút tiền".
Tiếp theo đó là việc phát hiện ra các gói npm như crypto-keccak, crypto-jsonwebtoken và crypto-bignumber ngụy trang thành các thư viện hợp pháp nhưng chứa mã để đánh cắp thông tin đăng nhập và dữ liệu ví tiền điện tử, một lần nữa nhấn mạnh cách các tác nhân đe dọa tiếp tục lợi dụng lòng tin mà các nhà phát triển đặt vào hệ sinh thái nguồn mở.
"Phần mềm độc hại đe dọa các nhà phát triển cá nhân bằng cách đánh cắp thông tin đăng nhập và dữ liệu ví của họ, điều này có thể dẫn đến tổn thất tài chính trực tiếp", nhà nghiên cứu bảo mật Kirill Boychenko lưu ý . "Đối với các tổ chức, hệ thống bị xâm phạm tạo ra các lỗ hổng có thể lan rộng khắp môi trường doanh nghiệp, cho phép khai thác rộng rãi".