Ledger, një ofrues i kuletave të kriptomonedhave, ka raportuar një humbje e konsiderueshme për përdoruesit e saj. Kriminelët shpërndanë një version me qëllim të keq të Ledger Connect Kit përmes një sulmi phishing ndaj një ish-punonjësi. Ky komplet është një bibliotekë kyçe JavaScript që lidh kuletat kripto Ledger me aplikacionet e palëve të treta, të njohura gjithashtu si faqet e internetit të lidhura me portofolin.
Dje, një ish-punonjës i Ledger ra viktimë e një sulmi phishing, duke rezultuar në hyrjen e hakerëve në llogarinë e tij NPMJS. NPMJS është një menaxher qendror i paketave për mjedisin JavaScript Node.js, që pretendon të jetë depoja më e madhe e softuerit në botë. Ai pret një arkiv të gjerë paketash publike, private dhe komerciale.
Pasi hynë në llogarinë e ish-punonjësit, sulmuesit përhapën një version të infektuar të Ledger Connect Kit. Ky version i komprometuar përdori një projekt mashtrues WalletConnect për të devijuar fondet nga përdoruesit e Ledger në portofolin e sulmuesve. Kodi me qëllim të keq ishte aktiv për rreth pesë orë, me vjedhjen e kriptomonedhës që ndodhi mbi dy orë. Kripto-studiuesi ZachXBT vlerëson humbjen të jetë mbi 600,000 dollarë. Ledger është zotuar të ndihmojë viktimat në rikuperimin e fondeve të tyre dhe konfirmoi se sulmi ishte i kufizuar në aplikacione të palëve të treta duke përdorur Ledger Connect Kit.
Ledger pretendon se është zakonisht e pamundur për një ish-punonjës të shpërndajë versione të softuerit me qëllim të keq. Versionet e reja supozohet të shqyrtohen nga shumë palë përpara lëshimit. Për më tepër, punonjësit që largohen nga kompania duhet të humbasin aksesin në sistemet Ledger. Megjithatë, Ledger nuk ka shpjeguar pse këto protokolle dështuan, duke e përshkruar atë si një 'incident të izoluar'. Që atëherë ata kanë nxjerrë një version të pastër të Ledger Connect Kit dhe kanë përditësuar 'sekretet' për shpërndarjen e kodit përmes Ledger's GitHub.