全球数字财富领导者

DeFi爆发大规模安全漏洞 技术长建议暂时停止互动

2023-12-15 11:46:42
金色财经
金色财经
关注
0
0
获赞
粉丝
喜欢 0 0收藏举报
— 分享 —
摘要:DeFi爆发大规模安全漏洞!技术长建议暂时停止互动

原文来源:币方社

get?code=MDI5MTc5ODcxZTZmNzRhZWZjMDU5MmU0MjllYjA3MjksMTcwMjYwODc5OTcwMQ==

币圈去中心化金融(DeFi)爆发大规模安全漏洞,去中心化交易所SushiSwap技术长Matthew Lilley在周四(12月14日)晚间发文警告,市场常用的Web3 Connector疑似遭黑客攻击,后续查明原因是因大型加密货币钱包Ledger遭恶意入侵有关,强调暂时不要与任何去中心化应用程序(Dapp)互动,以免资金出现风险。

“警告!请勿与任何Dapp交互,直至另行通知!看来常用的 Web3连结器已经遭到破坏,向众多的应用程序注入恶意代码,”Matthew重点写道。

get?code=MjQyZjM2ODgyYTVmNTZlY2U4OWJiMmRlYzhhZTk0MmYsMTcwMjYwODc5OTcwMQ==

在后续的更新中,他发现,问题主要出现在那些集成了“被投毒的 Ledger Connect套件”的应用程序上。

他解释说:“究竟发生了什么?简而言之,Ledger犯下一个可怕的错误,首先,他们正在从CDN加载JS。再者,这些JS并非来自正版。最后,他们的CDN受到攻击。”

get?code=NjEyMzZhOTc2YmEzNzQ1ZjI0NDU0M2MwOTU1YWNmNjQsMTcwMjYwODc5OTcwMQ==

Web3反诈平台Scam Sniffer也指出,看起来是加密货币钱包Ledger的ledgerhq/connect-kit npm遭到入侵,进一步证实了信息的可信度。

值得一提的是,稍晚0xScope合伙人0xSentry在推特补充表示,此次攻击事件很可能是Ledger前员工JunichiSugiura所导演的,因为攻击者在代码页留下的数位痕迹涉及到JunichiSugiura的谷歌电子邮件帐户。

经观察发现,此次攻击事件牵连范围广泛,不止是Sushi交易平台,去中心化交易所Kyber Network也提到,出于安全考虑,将暂时禁用其前端UI(User Interface)页面,直到情况明确为止。

get?code=NGFhOWU4OTk5OWVlZWU5NDdhZDUxMmI4M2E4YzdhNWIsMTcwMjYwODc5OTcwMQ==

另外,加密货币钱包小狐狸(MetaMask)也在发文表示,已发现对Ledger Connect Kit的攻击,并警告用户停止使用Dapp程序。

“如果你是MetaMask用户,请在MetaMask Portfolio上执行任何交易之前,确保你已在MetaMask Extension中打开Blockaid功能。MetaMask Portfolio团队正在处理该问题,并已制定修复方案,很快将推出,”MetaMask官方强调。

get?code=MWU3MWZjMjY4ZWNlNDI0NGU1M2FiMjUwNWUyNmY1MGYsMTcwMjYwODc5OTcwMQ==

根据最新处理状况,Ledger在北京时间周四晚间9点30分左右发文表示,他们已识别并删除了Ledger Connect Kit的恶意版本,目前正更新版本以替换恶意文件,同时也警告用户暂时仍然不要与任何Dapp进行交互。

get?code=MGIxNmJmZjEzMDljZTZjNWYyMzFiNmQ0OTNjM2I0ZjAsMTcwMjYwODc5OTcwMQ==

至于投资者最为关注的确切有多少金额损失,目前官方仍在确认中。

针对此次攻击事件,区块链安全团队慢雾创始人余弦稍晚发文分析表示,针对Ledger此次攻击的黑客组织米,在ledgerhq/connect-kit 1.1.5版本时就开始篡改代码,不过那时还并未植入恶意代码,仅是嘲讽类信息。

他称:“1.1.6版本时则开始植入恶意代码,后续又发布了带有病毒的1.1.7版本。”

get?code=ODI1MmNlYWY3YjkzYjkwMmFhZmU0MjQ2NzliNWIyY2UsMTcwMjYwODc5OTcwMQ==

当前未完成彻底排查前,提醒投资者与Dapp钱包、应用程序或任何相关的链接都必须谨慎,最好如Matthew所警告的,暂时不要与任何Dapp进行互动,避免资金曝露在风险中。

最新进展:

Ledger Support在周五发布更新,官方写道:“正版Ledger Connect Kit 1.1.8现已全面发布。 Ledger和WalletConnect可以确认恶意代码已被停用。你现在可以安全地使用Ledger Connect套件了。”

但MetaMask官方强调:“Ledger已解决了当前问题,但目前建议用户等待24小时,然后再使用Ledger Connect套件与Dapp进行交互。”

get?code=ZGNjYWZkNzczMTdhNWMxZDIwOGZkNjI5ZDQ5NWRjN2EsMTcwMjYwODc5OTcwMQ==

来源:金色财经

敬告读者:本文为转载发布,不代表本网站赞同其观点和对其真实性负责。FX168财经仅提供信息发布平台,文章或有细微删改。
go