ಲೆಡ್ಜರ್, ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿ ವ್ಯಾಲೆಟ್ಗಳ ಪೂರೈಕೆದಾರ, ವರದಿ ಮಾಡಿದೆ ಅದರ ಬಳಕೆದಾರರಿಗೆ ಗಮನಾರ್ಹ ನಷ್ಟ. ಮಾಜಿ ಉದ್ಯೋಗಿಯ ಮೇಲೆ ಫಿಶಿಂಗ್ ದಾಳಿಯ ಮೂಲಕ ಅಪರಾಧಿಗಳು ಲೆಡ್ಜರ್ ಕನೆಕ್ಟ್ ಕಿಟ್ನ ದುರುದ್ದೇಶಪೂರಿತ ಆವೃತ್ತಿಯನ್ನು ವಿತರಿಸಿದರು. ಈ ಕಿಟ್ ನಿರ್ಣಾಯಕ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಲೈಬ್ರರಿಯಾಗಿದ್ದು ಅದು ಲೆಡ್ಜರ್ ಕ್ರಿಪ್ಟೋ ವ್ಯಾಲೆಟ್ಗಳನ್ನು ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪ್ಲಿಕೇಶನ್ಗಳಿಗೆ ಲಿಂಕ್ ಮಾಡುತ್ತದೆ, ಇದನ್ನು ವ್ಯಾಲೆಟ್-ಕನೆಕ್ಟೆಡ್ ವೆಬ್ಸೈಟ್ಗಳು ಎಂದೂ ಕರೆಯಲಾಗುತ್ತದೆ.
ನಿನ್ನೆ, ಮಾಜಿ ಲೆಡ್ಜರ್ ಉದ್ಯೋಗಿ ಫಿಶಿಂಗ್ ದಾಳಿಗೆ ಬಲಿಯಾದರು, ಇದರ ಪರಿಣಾಮವಾಗಿ ಹ್ಯಾಕರ್ಗಳು ಅವರ NPMJS ಖಾತೆಗೆ ಪ್ರವೇಶವನ್ನು ಪಡೆದರು. NPMJS ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಪರಿಸರ Node.js ಗಾಗಿ ಕೇಂದ್ರ ಪ್ಯಾಕೇಜ್ ಮ್ಯಾನೇಜರ್ ಆಗಿದ್ದು, ವಿಶ್ವದ ಅತಿದೊಡ್ಡ ಸಾಫ್ಟ್ವೇರ್ ರೆಪೊಸಿಟರಿ ಎಂದು ಹೇಳಿಕೊಳ್ಳುತ್ತದೆ. ಇದು ಸಾರ್ವಜನಿಕ, ಖಾಸಗಿ ಮತ್ತು ವಾಣಿಜ್ಯ ಪ್ಯಾಕೇಜ್ಗಳ ವ್ಯಾಪಕ ಆರ್ಕೈವ್ ಅನ್ನು ಹೋಸ್ಟ್ ಮಾಡುತ್ತದೆ.
ಮಾಜಿ ಉದ್ಯೋಗಿಯ ಖಾತೆಯನ್ನು ಪ್ರವೇಶಿಸಿದ ನಂತರ, ದಾಳಿಕೋರರು ಲೆಡ್ಜರ್ ಕನೆಕ್ಟ್ ಕಿಟ್ನ ಸೋಂಕಿತ ಆವೃತ್ತಿಯನ್ನು ಹರಡಿದರು. ಈ ರಾಜಿ ಮಾಡಿಕೊಂಡ ಆವೃತ್ತಿಯು ಲೆಡ್ಜರ್ ಬಳಕೆದಾರರಿಂದ ಆಕ್ರಮಣಕಾರರ ವ್ಯಾಲೆಟ್ಗಳಿಗೆ ಹಣವನ್ನು ತಿರುಗಿಸಲು ರಾಕ್ಷಸ WalletConnect ಯೋಜನೆಯನ್ನು ಬಳಸಿದೆ. ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್ ಸುಮಾರು ಐದು ಗಂಟೆಗಳ ಕಾಲ ಸಕ್ರಿಯವಾಗಿತ್ತು, ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿ ಕಳ್ಳತನವು ಎರಡು ಗಂಟೆಗಳಲ್ಲಿ ಸಂಭವಿಸುತ್ತದೆ. ಕ್ರಿಪ್ಟೋ-ಸಂಶೋಧಕ ZachXBT ನಷ್ಟವನ್ನು ಅಂದಾಜಿಸಿದ್ದಾರೆ $600,000 ಕ್ಕಿಂತ ಹೆಚ್ಚು. ಲೆಡ್ಜರ್ ಸಂತ್ರಸ್ತರಿಗೆ ಅವರ ಹಣವನ್ನು ಮರುಪಡೆಯಲು ಸಹಾಯ ಮಾಡಲು ಬದ್ಧವಾಗಿದೆ ಮತ್ತು ದಾಳಿಯು ಲೆಡ್ಜರ್ ಕನೆಕ್ಟ್ ಕಿಟ್ ಅನ್ನು ಬಳಸುವ ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಅಪ್ಲಿಕೇಶನ್ಗಳಿಗೆ ಸೀಮಿತವಾಗಿದೆ ಎಂದು ದೃಢಪಡಿಸಿದೆ.
ದುರುದ್ದೇಶಪೂರಿತ ಸಾಫ್ಟ್ವೇರ್ ಆವೃತ್ತಿಗಳನ್ನು ವಿತರಿಸಲು ಮಾಜಿ ಉದ್ಯೋಗಿಗೆ ಸಾಮಾನ್ಯವಾಗಿ ಅಸಾಧ್ಯವೆಂದು ಲೆಡ್ಜರ್ ಹೇಳಿಕೊಂಡಿದ್ದಾನೆ. ಹೊಸ ಆವೃತ್ತಿಗಳನ್ನು ಬಿಡುಗಡೆಯ ಮೊದಲು ಬಹು ಪಕ್ಷಗಳು ಪರಿಶೀಲಿಸಬೇಕು. ಹೆಚ್ಚುವರಿಯಾಗಿ, ಕಂಪನಿಯನ್ನು ತೊರೆಯುವ ಉದ್ಯೋಗಿಗಳು ಲೆಡ್ಜರ್ ವ್ಯವಸ್ಥೆಗಳಿಗೆ ಪ್ರವೇಶವನ್ನು ಕಳೆದುಕೊಳ್ಳಬೇಕಾಗುತ್ತದೆ. ಆದಾಗ್ಯೂ, ಈ ಪ್ರೋಟೋಕಾಲ್ಗಳು ಏಕೆ ವಿಫಲವಾಗಿವೆ ಎಂಬುದನ್ನು ಲೆಡ್ಜರ್ ವಿವರಿಸಿಲ್ಲ, ಇದನ್ನು 'ಪ್ರತ್ಯೇಕ ಘಟನೆ' ಎಂದು ವಿವರಿಸಿದ್ದಾರೆ. ಅಂದಿನಿಂದ ಅವರು ಲೆಡ್ಜರ್ ಕನೆಕ್ಟ್ ಕಿಟ್ನ ಕ್ಲೀನ್ ಆವೃತ್ತಿಯನ್ನು ಹೊರತಂದಿದ್ದಾರೆ ಮತ್ತು ಲೆಡ್ಜರ್ನ ಗಿಟ್ಹಬ್ ಮೂಲಕ ಕೋಡ್ ವಿತರಿಸಲು 'ರಹಸ್ಯ'ಗಳನ್ನು ನವೀಕರಿಸಿದ್ದಾರೆ.