.jpeg)
Un recente tentativo di sfruttare le vulnerabilità all'interno dell'ecosistema Node Package Manager (NPM), sebbene abbia comportato perdite finanziarie minime, è servito da severo avvertimento sulle continue minacce alla sicurezza che affrontano gli utenti e le piattaforme di criptovalute. L'incidente evidenzia la necessità critica di robuste misure di sicurezza, in particolare per i portafogli software e gli scambi.
Punti chiave
-
L'attacco NPM tentato, che ha rubato solo 50 dollari in criptovalute, ha esposto significative vulnerabilità nella catena di approvvigionamento.
-
Gli esperti sottolineano che i portafogli software e gli scambi rimangono suscettibili a tali attacchi.
-
I portafogli hardware sono promossi come un'alternativa più sicura grazie a funzionalità come la firma chiara e la verifica delle transazioni.
L'attacco NPM svelato
L'attacco ha avuto origine quando attori malevoli hanno ottenuto l'accesso agli account degli sviluppatori tramite e-mail di phishing che impersonavano il supporto NPM. Sfruttando questo accesso, hanno iniettato codice dannoso in popolari librerie NPM, tra cui chalk, debug e strip-ansi. Il codice iniettato era progettato per intercettare e alterare gli indirizzi dei portafogli di criptovalute durante le transazioni su varie blockchain come Bitcoin, Ethereum, Solana, Tron e Litecoin.
Analisi e impatto degli esperti
Charles Guillemet, CTO di Ledger, un'azienda di portafogli hardware, ha descritto l'incidente come un "chiaro promemoria" dei rischi persistenti. Ha affermato che gli utenti che si affidano a portafogli software o che mantengono fondi su scambi sono "a una sola esecuzione di codice dal perdere tutto", sottolineando che i compromessi della catena di approvvigionamento rimangono un potente vettore per la distribuzione di malware. Guillemet ha sostenuto l'uso dei portafogli hardware, citando le loro funzionalità di firma chiara e di controllo delle transazioni come difese cruciali contro tali minacce.
Anatoly Makosov, CTO di The Open Network (TON), ha fornito ulteriori dettagli, notando che solo versioni specifiche di 18 pacchetti sono state interessate e che sono stati prontamente emessi rollback. Ha spiegato che i pacchetti compromessi hanno agito come "crypto clippers", sostituendo silenziosamente gli indirizzi legittimi dei portafogli con quelli malevoli nelle applicazioni che utilizzavano le versioni infette. Ciò significava che le applicazioni web che interagivano con le blockchain interessate erano a rischio di vedere le loro transazioni reindirizzate senza la consapevolezza dell'utente.
Mitigazione e raccomandazioni
Makosov ha identificato gli sviluppatori che hanno rilasciato build poco dopo gli aggiornamenti malevoli e le applicazioni che hanno aggiornato automaticamente le librerie di codice come i più esposti. Ha consigliato agli sviluppatori di tornare a versioni sicure delle librerie compromesse, reinstallare codice pulito e ricostruire le loro applicazioni. Ha anche condiviso una checklist per identificare le app compromesse, principalmente controllando se il progetto si basa sulle 18 versioni specifiche delle librerie compromesse. Sono disponibili nuove versioni e aggiornamenti, e si sollecita un'azione tempestiva per rimuovere il malware.
Fonti
-
L'hack di NPM mostra che le minacce alla catena di approvvigionamento mettono ancora in pericolo le criptovalute, Cointelegraph.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.