Нещодавно було викрито дуже небезпечну ситуацію — на npm було опубліковано 3 шкідливі пакети, які імітували бібліотеки Bitcoin (bitcoin-main-lib, bitcoin-lib-js, bip40). Перед тим, як їх виявили та видалили, їх вже завантажили понад 3400 разів. Звучить не дуже багато, але наслідки можуть бути дуже серйозними.



Ці пакети містили в собі троянську програму NodeCordRAT, яка фактично є "крадієм" цифрових активів. Вона виконує кілька зловмисних дій: безпосередньо краде логін-креденціали для браузера Chrome, різноманітні API Token, а найжахливіше — може викрасти приватний ключ і мнемонічний фразу гаманця MetaMask. Якщо інженер запустить ці пакети, його гаманець фактично відкривається для хакерів.

Ця подія знову нагадує всім, що безпека ланцюжка поставки npm-пакетів не повинна знецінюватися. Розробникам слід бути особливо уважними при завантаженні залежностей: краще перевірити джерело та відгуки для незнайомих або часто оновлюваних пакетів. Також для високоризикових інструментів, таких як MetaMask і Chrome, важливо регулярно перевіряти налаштування дозволів і бути обережним при встановленні плагінів.
BTC-0,03%
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
  • Нагородити
  • 5
  • Репост
  • Поділіться
Прокоментувати
0/400
NFTFreezervip
· 01-09 03:50
Це знову ця хрінова npm, не зловити й не захиститися Більше 3400 завантажень, страшно подумати... потрібно швидко перевірити ті пакети, які я встановив Чорт, навіть приватний ключ MetaMask можна вкрасти? Наскільки це жорстко npm справді потрібно посилити перевірки, зараз будь-хто може викласти щось Наступного разу обов’язково дивіться історію подання пакету та кількість завантажень, не можна просто так встановлювати незнайомі речі Ця атака на ланцюг поставок справді вражає, розробники мають бути обережні
Переглянути оригіналвідповісти на0
FortuneTeller42vip
· 01-09 03:49
Боже, понад 3400 разів? Скільки ж це коштує, щоб все це було на голому ентузіазмі... --- Чи так само крихка зараз оборона npm? Не дивно, що мені доводиться самостійно перевіряти все. --- Знову ця історія з підробкою відомих бібліотек, гаразд, тепер доведеться перевіряти checksum кожного разу. --- Я просто хочу знати, що сталося з тими, хто завантажив ці 3400 разів, чи хтось вже був викрадений? --- Пряме викрадення приватного ключа MetaMask... Це ще жорсткіше за соціальну інженерію, хлопці, які потрапили — ймовірно, будуть плакати від розчарування в туалеті. --- Чому кожного разу, коли трапляється щось погане, я згадую про безпеку? Я вже не можу тримати це в собі. --- Ось чому я ніколи не довіряю незнайомим пакетам, достатньо подивитися на рейтинг і час останнього оновлення. --- Жорстке нагадування, але чесно кажучи, більшість людей все одно встановлюють все поспіхом, навіщо тоді знати? --- Чому в екосистемі Node.js так багато "ліві" проєктів? Відповідальність для підтримувачів — це справжнє випробування. --- Якщо нічого не трапляється, то й не вчишся, так? Постійно повторюється одне й те саме.
Переглянути оригіналвідповісти на0
BlockchainTherapistvip
· 01-09 03:34
3400 скачувань не багато, але справді дуже страшно, скільки ж людей wallets просто вибухнуть... --- Цей момент з npm дійсно потрібно запам'ятати, хто знає, який пакет є мішкою з медом --- Я справді боюся, що приватний ключ MetaMask був викрадений, потрібно регулярно проводити аудит --- Безпека ланцюга постачання в Web3 ще не була справді вирішена, підключити пакет — все одно що відкривати лотерею --- Чому кожного разу таке трапляється? Розробники занадто необережні --- Назва bitcoin-main-lib занадто хитра, потрібно ретельно перевіряти джерело --- Викрадення облікових даних Chrome — це вже другий план, але MetaMask — це справжня небезпека
Переглянути оригіналвідповісти на0
NeonCollectorvip
· 01-09 03:32
3400 скачувань? Серйозно, скільки людей вже постраждало... npm зараз так слабо захищений?
Переглянути оригіналвідповісти на0
TokenRationEatervip
· 01-09 03:30
3400次 скачувань — не так багато, але якщо когось реально підловити, все буде кінець --- Обстановка з npm стає все більш заплутаною, у наш час будь-який пакет сміливо можна виставляти --- Я просто хочу знати, що думає ця команда, справді вважають, що зможуть обманути систему? --- MetaMask приватний ключ можна викрасти, це навіть страшніше, ніж просто пограбувати --- Знову проблеми з ланцюгом постачання, розробникам потрібно бути більш обережними --- 3400 розробників — це справжні азартні гравці, вони сміливо використовують незнайомі пакети --- Такий тип атак дійсно неможливо запобігти, можна лише бути дуже обережним --- Я вже казав, що механізм перевірки npm — формальність, і ось результат --- Виявлення приватного ключа — це смерть для репутації, потрібно глибоко замислитися --- Здається, безпека Web3 постійно рятує ситуацію, справжнього рішення поки що немає
Переглянути оригіналвідповісти на0
  • Закріпити