Δηλητήριο Εφοδιαστικής Αλυσίδας: Όταν οι αξιόπιστες ενημερώσεις γίνονται κακόβουλο λογισμικό

Περίληψη: Είστε εξαιρετικά προσεκτικοί. Δεν επισκέπτεστε σκιώδεις ιστότοπους. Δεν πειρατεύετε λογισμικό. Ενημερώνετε μόνο νόμιμο λογισμικό. Και όμως σας χακάρουν. Αυτός είναι ο εφιάλτης του 'Ledger Connect Kit' hack και πώς να προστατευτείτε από έμπιστες πηγές.

1. Το Περιστατικό Ledger Connect Kit

Τον Δεκέμβριο του 2023, ο κόσμος των κρυπτονομισμάτων κράτησε την ανάσα του.

Το Ledger δεν παραβιάστηκε άμεσα. Μια βιβλιοθήκη που χρησιμοποιούσε το Ledger παραβιάστηκε.

Ένας πρώην υπάλληλος έπεσε θύμα phishing. Οι χάκερ απέκτησαν πρόσβαση στον λογαριασμό NPM του και ανέβασαν κακόβουλο κώδικα στη βιβλιοθήκη @ledgerhq/connect-kit.

Ξαφνικά, κάθε ιστότοπος (SushiSwap, Revoke.cash κ.λπ.) που χρησιμοποιούσε την τελευταία έκδοση αυτής της βιβλιοθήκης άρχισε αυτόματα να εμφανίζει ένα ψεύτικο αναδυόμενο παράθυρο πορτοφολιού στους χρήστες.

Οι χρήστες δεν έκαναν τίποτα λάθος. Πήγαν στον σωστό ιστότοπο, αλλά ο ιστότοπος φόρτωσε μια δηλητηριασμένη "Εφοδιαστική Αλυσίδα" (Supply Chain).

2. Πώς λειτουργεί

Το σύγχρονο λογισμικό είναι σαν Lego. Οι προγραμματιστές δεν γράφουν όλο τον κώδικα μόνοι τους. Τραβούν "Εξαρτήσεις" (Dependencies/Βιβλιοθήκες) από άλλους.

• Η εφαρμογή σας χρησιμοποιεί τη Βιβλιοθήκη Α.
• Η Βιβλιοθήκη Α χρησιμοποιεί τη Βιβλιοθήκη Β.
• Η Βιβλιοθήκη Β παραβιάζεται.

Οι χάκερ λατρεύουν αυτήν τη μέθοδο γιατί το χακάρισμα μιας βιβλιοθήκης τους δίνει εκατομμύρια θύματα ταυτόχρονα.

3. Πώς να προστατευτείτε (Για Χρήστες)

Πώς προστατευόμαστε από κάτι που παρακάμπτει ακόμη και τους τεχνολογικούς γίγαντες;

Ο Κανόνας "Περίμενε" (The Wait Rule)

Όταν κυκλοφορεί μια μεγάλη ενημέρωση ή μια νέα δυνατότητα, μην είστε οι πρώτοι που θα κάνετε ενημέρωση.

Δώστε στην κοινότητα (και στο Twitter/X Crypto Security) 24-48 ώρες για να επαληθεύσουν. Εάν πρόκειται για επίθεση Supply Chain, τα νέα θα διαδοθούν αστραπιαία.

Διπλός Έλεγχος

Εάν το αγαπημένο σας dApp σας ζητήσει να Ενεργοποιήσετε (Enable) ή να Εγκρίνετε (Approve) κάτι παράξενο:

1. Ελέγξτε το Twitter τους.
2. Ελέγξτε το Discord τους.
3. Ελέγξτε ερευνητές ασφαλείας στο Twitter (όπως ο @zachxbt).

Εάν όλα είναι ήσυχα... μάλλον είναι ασφαλές. Αλλά αν όλοι φωνάζουν "ΜΗΝ ΣΥΝΔΕΘΕΙΤΕ" (DO NOT CONNECT), μόλις σωθήκατε.

Συμπέρασμα

Σε έναν διασυνδεδεμένο κόσμο, η ασφάλειά σας εξαρτάται από τον πιο αδύναμο κρίκο. Μερικές φορές είναι ασφαλέστερο να είσαι "Αργοπορημένος Υιοθετητής" (Late Adopter) που δεν ενημερώνει αμέσως, παρά να είσαι πρωτοπόρος.