Ledger conferma che una sua libreria software è stata hackerata!
Nel settore crypto tra i problemi più ricorrenti ci sono i continui attacchi alla sicurezza come quello scoperto ieri che sembra possa essere attribuibile a una libreria software di Ledger.
Ledger, famosa per la produzione di wallet hardware come Ledger Nano S e Ledger Nano X, ha subito avvisato i suoi utenti di non utilizzare il software per connettersi alle app decentralizzate (dApp) supportate dato che è stata compromessa la sua Ledger Connect Kit. La libreria è utilizzata per integrare le funzionalità dei wallet Ledger nelle dApp.
🚨We have identified and removed a malicious version of the Ledger Connect Kit. 🚨
A genuine version is being pushed to replace the malicious file now. Do not interact with any dApps for the moment. We will keep you informed as the situation evolves.
Your Ledger device and…
— Ledger (@Ledger) December 14, 2023
Secondo quanto riferito sulla piattaforma X, è stata individuata e rimossa una versione compromessa della libreria ConnectKit dal backend di Ledger.
Per questo motivo, l’azienda consiglia di evitare qualsiasi interazione con le dApp. Tuttavia, Ledger ha anche rassicurato gli utenti, visto che i dispositivi Ledger e le applicazioni Ledger Live non sono stati compromessi.
Il primo ad aver individuato la libreria compromessa è stato lo sviluppatore @bantg, ed ha spiegato che è stato inserito un codice dannoso per prosciugare i fondi.
🚨 ledger library confirmed compromised and replaced with a drainer. wait out interacting with any dapps till things become clearer.https://t.co/xapunW8zC3 pic.twitter.com/NlAc11vhdv
— banteg (@bantg) December 14, 2023
L’attacco al Node Package Manager (NPM)
L’azienda Blockaid ha dichiarato che un cyberattacker ha inserito un codice dannoso, noto come “payload,” che prosciuga i wallet nel Node Package Manager (NPM)”, usato per collegare le applicazioni ai wallet.
Questo ha provocato la compromissione delle dApp che utilizzano le versioni 1.14 e successive del ConnectKit di Ledger.
🚨 We've detected a potential supply chain attack on ledgerconnect kit 🚨
The attacker injected a wallet draining payload into the popular NPM package.
This currently affects a couple of popular dapps including but not limited to https://t.co/2QJmKIGv9T— Blockaid (@blockaid_) December 14, 2023
Inoltre, il Chief Technology Officer (CTO) di SushiSwap, Matthew Lilley, ha rivelato che anche il JavaScript (JS) di LedgerHQ/connectkit caricato da un account CDN è stato compromesso. Di conseguenza, il codice JS dannoso si è diffuso in diverse DApp.
#PeckShieldAlert Our community contributor has reported that the front ends of #Zapper, #Sushi have been compromised.https://t.co/WPkLZfNKpO
— PeckShieldAlert (@PeckShieldAlert) December 14, 2023
Progetti blockchain come RevokeCash e Kyber Network hanno confermato l’hack. RevokeCash ha sospeso temporaneamente il suo sito web, ma ha successivamente risolto il problema e riaperto il sito, pur consigliando agli utenti di non collegare i loro wallet a qualsiasi protocollo blockchain per il resto della giornata.
⚠️⚠️⚠️⚠️⚠️⚠️
Warning: Multiple popular crypto applications that integrate with Ledger's ConnectKit library, including https://t.co/MkINKOiX5N have been compromised. We temporarily took the website offline as we're investigating further. We recommend not using *any* crypto website…— Revoke.cash (@RevokeCash) December 14, 2023
I problemi continuano nonostante gli sforzi di Ledger
Il protocollo Ledger ha confermato che ha distribuito il software autentico e che sta lavorando attivamente per eliminare il payload che prosciuga il wallet dal suo servizio CDN.
Tuttavia, nonostante i continui sforzi per risolvere questa problematica, gli esperti del settore consigliano agli utenti di prestare particolare attenzione ad utilizzare le soluzioni basate sul Web3 in questo momento
Ledger Library Exploit Explainer for Average Folks
What is going on with the recent alerts not to use dapps?
A library that is used by many dapps that is maintained by Ledger was compromised and a wallet drainer was added.
What do I do as a normal user?
Do not interact with… https://t.co/exre0QfykD
— Hudson Jameson (@hudsonjameson) December 14, 2023
Hudson Jameson, uno degli sviluppatori di Ethereum, ha spiegato che se un utente visita una delle numerose DApp collegate all’ecosistema Ledger, le richieste del browser, come Metamask, potrebbero rivelare i dettagli del suo wallet crypto.
Questo tipo di vulnerabilità mette in pericolo la sicurezza degli asset. Per minimizzare questo rischio, è stato consigliato agli utenti di evitare di interagire con le DApp colpite fino al rilascio di un aggiornamento.
Jameson ha sottolineato che anche dopo la rimozione del codice dannoso tutte le DApp collegate dovranno aggiornare le loro librerie prima di poter essere considerate sicure.
Il problema della libreria di Ledger ha impattato anche il protocollo DeFi SushiSwap, che durante la giornata di ieri ha dichiarato di essere stato hackerato e molte dAPP sono state compromesse.
Leggi anche:
- Settembre 2023 segna il record di exploit crypto con 329 milioni di dollari rubati!
- Hack da 9 milioni di dollari a danno di dYdX e YFI: ecco com’è andata
- L’hack di RocketSwap sulla blockchain Base è stato un rug pull?
