Взлом JavaScript-библиотеки @solana/web3.js: ущерб в $160,000

Злоумышленники взломали библиотеку @solana/web3.js, что привело к краже цифровых активов на сумму около $160,000. Разработчики призваны обновить свои библиотеки для предотвращения атак.

📅 Вчера, 22:37 👁️ 18

👤 Андрей Текстов

Фото: forklog

Недавний инцидент затронул jаvascript-библиотеку @solana/web3.js, что является важным инструментом для разработчиков, создающих децентрализованные приложения на платформе Solana. Об этом стало известно благодаря аналитикам Anza.

Earlier today, a publish-access account was compromised for @solana/web3.js, a JavaScript library that is commonly used by Solana dapps. This allowed an attacker to publish unauthorized and malicious packages that were modified, allowing them to steal private key material and…
— Anza (@anza_xyz) December 3, 2024

2 декабря группа хакеров получила доступ к учетной записи, управляющей библиотекой. В результате были скомпрометированы версии 1.95.6 и 1.95.7. Внедренный вредоносный код извлекал закрытые ключи и выводил средства из различных протоколов.

Разработчики и системы, использовавшие эти версии, оказались уязвимыми к атакам без своего ведома.

По данным Solscan, общая сумма украденных цифровых активов превысила $160,000.

Представители Anza уточнили, что данный эксплойт не затрагивает саму сеть Solana, а касается исключительно библиотеки для разработчиков. Вредоносный код мог атаковать только те приложения, которые работают с закрытыми ключами, например, через использование ботов. Однако список жертв атаки не был раскрыт.

Мы советуем всем разработчикам на платформе Solana обновить свои jаvascript-библиотеки до последних версий.

Эксперты Anza

Команда криптокошелька Phantom подтвердила, что никогда не использовала скомпрометированные версии библиотек, что позволяет гарантировать безопасность средств своих пользователей.

Phantom is not impacted by this vulnerability.

Our Security Team confirms that we have never used the exploited versions of @solana/web3.js https://t.co/9wHZ4cnwa1
— Phantom (@phantom) December 3, 2024

Аналогично поступили также Solflare, Drift и Backpack.

Интересно, что ранее вмешались в работу биржи XT, где хакеры похитили активы на сумму $1.7 млн.

Напоминаем, что по состоянию на третий квартал 2024 года убытки в сфере криптоиндустрии от 155 случаев взломов, эксплойтов и мошенничеств составили $753 млн.