Lieferkettenangriff auf Ledger Connect Kit über npm

Am 14. Dezember 2023 wurden die bösartigen Versionen 1.1.5, 1.1.6 und 1.1.7 von Ledger Connect Kit, einer JavaScript-Bibliothek, mit der Websites eine Verbindung zu Wallets herstellen, auf npm veröffentlicht. Ledger erklärt, dass ein ehemaliger Mitarbeiter Opfer von Phishing wurde und der Angreifer mit einem Session-Token die Zwei-Faktor-Authentifizierung des npm-Kontos dieser Person umging, das beim Ausscheiden des Mitarbeiters nicht gesperrt worden war. Ledger gibt an, dass der Angreifer zu keinem Zeitpunkt Zugriff auf die Infrastruktur von Ledger hatte.

Der eingeschleuste Code entzog Nutzern von dApps Dritter, die die Bibliothek luden, ihr Guthaben, indem er sie zur Signatur bösartiger Transaktionen aufforderte; Ledgers Bericht nennt Angel Drainer. Laut The Block deaktivierten Projekte wie Kyber und Revoke.cash ihre Frontends, und MetaMask erklärte, dass Nutzer aller Wallets betroffen seien, nicht nur Ledger-Besitzer.

Ledger gibt an, dass es die Korrektur innerhalb von 40 Minuten nach Bekanntwerden ausgerollt habe, dass die bösartige Datei wegen CDN-Caching etwa fünf Stunden lang erreichbar blieb und dass weniger als zwei Stunden lang Guthaben abgezogen wurden. Tether fror die USDT des Angreifers ein, und WalletConnect deaktivierte das für den Abzug genutzte Projekt. Ledger erklärt, dass der Exploit weder Ledger-Hardware noch Ledger Live betraf.

Was Ledger empfiehlt:

• Prüfen Sie jede Transaktion auf dem Gerätebildschirm, bevor Sie sie bestätigen; was das Gerät anzeigt, ist das, was Sie signieren.
• Bestätigen Sie niemals eine Transaktion, die Sie nicht selbst ausgelöst haben.