Package NPM Ripple Xrpl.js ciblé par les pirates avec une porte dérobée qui vole les clés privées

Le Package Ripple officiel XRP Ledger (XRPL), un package NPM, a été compromis par des attaquants sophistiqués qui ont installé une porte dérobée pour extraire les clés de cryptographie, accédant à des portefeuilles privés. Ripple a découvert la brèche lorsque cinq nouveaux packages ont été ajoutés au référentiel XRP Ledger (XRPL). Le package est en moyenne de 140 000 téléchargements chaque semaine. Des milliers de sites Web et d’applications utilisent le package. La brèche, si elle n’est pas traitée, aurait pu causer de graves dommages aux marchés cryptographiques, conduisant à une perturbation de la chaîne d’approvisionnement qui aurait pu se propager à d’autres marchés. Les cinq nouveaux packages ajoutés à GitHub ne s’alignaient pas avec les versions précédentes, ce qui soupçonne les suspicions sur les modifications apportées au code.

Le code malveillant a communiqué avec un nom de domaine nouvellement enregistré, 0x9C.xyz, qui a été utilisé pendant le processus de création du portefeuille, permettant aux attaquants d’accéder aux clés privées. L’analyse du code révèle que les attaquants ont affiné leurs méthodes au fil du temps. Initialement, ils ont codé l’exploit en code simple, puis ont avancé pour déguiser la porte dérobée avec du code TypeScript. Ripple a conseillé aux personnes touchées par l’attaque de vérifier leurs journaux pour voir s’il existe un trafic sortant vers le nom de domaine suspect. En outre, les applications utilisant le grand livre des ondulations devraient faire pivoter leurs adresses de portefeuille pour empêcher les futures attaques des acteurs malveillants. Le XRPL compromis comprenait les versions 4.2.1 et 4.2.4. Ripple a publié de nouvelles versions qui atténuent la menace, y compris les versions 4.2.5 et 2.14.3. Les utilisateurs affectés devraient déplacer leurs actifs immédiatement vers de nouvelles adresses.

Les attaquants ont ajouté une méthode nommée CheckValidityOfSeed () à la fin du fichier /src/index.ts dans les versions compromises. La méthode permet aux utilisateurs d’envoyer une chaîne à l’adresse Web 0x9c.xyz/xcm, où les attaquants peuvent stocker les données récupérées. La méthode envoie les données à l’aide d’une demande de post HTTP. Les attaquants ont en outre déguisé la méthode de demande en tant que service de référence publicitaire pour masquer leurs activités aux scanners de surveillance du réseau. La méthode CheckValidityofseed () permet aux attaquants de voler des clés privées, des mnémoniques et des graines. 

La XRP Ledger Foundation (XRPLF) est responsable du maintien de la bibliothèque XRPL.JS, qui est un package officiel utilisé pour communiquer avec Ripple via JavaScript. La bibliothèque XRPL.JS permet aux programmeurs d’accéder aux fonctionnalités de portefeuille, de transférer des jetons d’ondulation et d’interagir avec la blockchain Ripple. Le package est largement utilisé, avec une moyenne de 140 000 téléchargements par semaine. Le code malveillant a été inséré dans les versions 2.14.2, 4.2.1, 4.2.2, 4.2.3 et 4.2.4. Ripple a publié une version fixe 4.2.5.

Les développeurs

sont invités à remplacer toutes les versions infectées dès que possible. Le problème avec ces attaques est qu’ils peuvent infecter les bibliothèques utilisées par les développeurs, puis affecter les utilisateurs généraux qui téléchargent des applications déjà compromises. Ripple a supprimé les packages NPM qui ont été infectés. Ripple a assuré aux utilisateurs que l’attaque n’a affecté que le package xrpl.js et non le référentiel de base pour Ripple.

«Cette vulnérabilité», a écrit Ripple Foundation, «Is dans XRPL.js, une bibliothèque JavaScript pour interagir avec le grand livre XRP. Il n’affecte pas la base de code XRP Ledger ou le référentiel GitHub lui-même. Les projets à l’aide de XRPL.js doivent passer à V4.2.5 immédiatement.»

Coinbase a subi une attaque similaire en mars lorsque les attaquants ont ciblé leur agent open-source. L’attaque a ciblé les chaînes d’approvisionnement, identiques à l’attaque XRPL, et visait à exploiter des projets liés à la cryptographie. Cependant, Coinbase a pu déjouer l’attaque et empêcher tout dommage à sa chaîne d’approvisionnement. Le groupe de piratage nord-coréen Lazarus a également ciblé les référentiels NPM, en utilisant une astuce pour créer des référentiels avec des noms similaires à ceux des bibliothèques officielles.

Ripple a récemment connu des gains importants sur le marché américain, à la suite du règlement de la SEC avec la société cryptographique. Le changement dans la réglementation américaine a permis au Ripple Network d’étendre ses pratiques commerciales et de se concentrer sur l’innovation. Le prix XRP a augmenté d’environ 300% depuis l’inauguration de Trump. Ripple a une dynamique de prix similaire, en termes de volatilité, à d’autres pièces comme Stellar et Tron, qui peuvent être dues à des marchés de remises qui se chevauchent. Il y a maintenant une poussée pour libérer un ETF XRP. Coinbase, en outre, a publié un marché à terme XRP sur sa plate-forme dérivée, annonçant le changement le 21 avril