Ledger CTO met en garde contre l’attaque de la chaîne d’approvisionnement du NPM frappant 1b + téléchargements

Charles Guillemet, directeur de la technologie chez Hardware Wallet Maker Ledger, a averti lundi que lundi qu’une attaque de chaîne d’approvisionnement à grande échelle est en cours après le compromis d’un compte de package de nœud de développeur réputé (NPM).

Selon Guillemet, le code malveillant – déjà poussé dans des forfaits avec 1 milliard de téléchargements – est conçu pour faire du wallage de crypto à la sifflement. Cela signifie que les utilisateurs sans méfiance pourraient envoyer des fonds directement à l’attaquant sans s’en rendre compte.

Guillemet n’a pas nommé le développeur dont il a déclaré que le compte a été compromis.

L’incident souligne la profondeur de la colonne à l’Open-Software et pourquoi les laps de sécurité dans les outils de développement peuvent ripasser dans l’économie de la crypte presque instantanément. JavaScript, qui facilite l’intégration des packages pour les développeurs », a déclaré Guillemet dans un message à Coindesk. Lorsqu’un attaquant compromet le compte d’un développeur, il peut glisser du code malveillant dans des packages largement utilisés.

« Le code malveillant tente de drainer les utilisateurs en échangeant des adresses utilisées dans la transaction ou l’activité générale sur la chaîne et les remplacer par l’adresse du pirate », a ajouté Guillemet. Bien sûr, la façon de lutter contre cela est d’utiliser un portefeuille matériel avec un écran sécurisé qui prend en charge la signature claire », a déclaré Guillemet à Coindesk. « Cela permettra à l’utilisateur de voir exactement les adresses que les fonds sont envoyés et s’assurera qu’ils correspondent aux adresses prévues. »

« Des portefeuilles matériels sans écrans sécurisés et tout portefeuille qui ne prend pas en charge la signature claire est à haut risque car il est impossible de vérifier avec précision les détails de la transaction », a-t-il ajouté. et clairement signer « , a déclaré Guillemet.

Lire la suite: le CTO du grand livre aborde la critique du nouveau service de récupération de portefeuille