Бухгалтердик журналдын колдонуучулары фишингдик чабуулдан жүз миңдеген крипто акчасын жоготушту

Ledger, cryptocurrency капчыктарды камсыздоочу, билдирди анын колдонуучулары үчүн олуттуу жоготуу. Кылмышкерлер мурдагы кызматкерге фишингдик чабуул аркылуу Ledger Connect Kitтин зыяндуу версиясын таратышкан. Бул комплект Ledger крипто капчыктарын үчүнчү тараптын тиркемелери менен байланыштырган маанилүү JavaScript китепканасы, ошондой эле капчыкка туташкан веб-сайттар деп аталат.

Кечээ, мурдагы Ledger кызматкери фишинг чабуулунун курмандыгы болуп, анын натыйжасында хакерлер анын NPMJS эсебине кирүү мүмкүнчүлүгүнө ээ болушкан. NPMJS өзүн дүйнөдөгү эң чоң программалык камсыздоо репозиторийси деп ырастаган Node.js JavaScript чөйрөсү үчүн борбордук пакет менеджери. Ал мамлекеттик, жеке жана коммерциялык пакеттердин чоң архивин камтыйт.

Мурдагы кызматкердин аккаунтуна кирип, чабуулчулар Ledger Connect Kitтин вируска чалдыккан версиясын таратышкан. Бул бузулган версия Ledger колдонуучуларынан акча каражаттарын чабуулчулардын капчыгына буруу үчүн WalletConnect проектисин колдонгон. Зыяндуу код эки сааттан ашык убакытта крипто-валюта уурдоо менен, беш саатка жакын активдүү болгон. Крипто-изилдөөчү ZachXBT жоготууга баа берет 600,000 XNUMX доллардан ашат. Ledger жабырлануучуларга каражаттарын калыбына келтирүүгө жардам берүүгө милдеттенди жана кол салуу Ledger Connect Kit аркылуу үчүнчү тараптын колдонмолору менен гана чектелгенин ырастады.

Ledger бул экс-кызматкер зыяндуу программалык версияларды жайылтуу үчүн, адатта, мүмкүн эмес деп ырастайт. Жаңы версиялар чыгаруудан мурун бир нече тарап тарабынан каралышы керек. Кошумчалай кетсек, компаниядан кеткен кызматкерлер Ledger системаларына кирүү мүмкүнчүлүгүн жоготушу керек. Бирок, Леджер бул протоколдор эмне үчүн ишке ашпай калганын түшүндүргөн жок жана аны "обочолонгон окуя" катары сыпаттады. Ошондон бери алар Ledger Connect Kitтин таза версиясын чыгарышты жана Ledger's GitHub аркылуу кодду таратуунун "сырларын" жаңылашты.