Ledger Connect Kit攻击事件复盘_全球资讯热分享网(专注热点收集平台)

Ledger Connect Kit攻击事件复盘


Ledger Connect Kit攻击事件复盘

  2023-12-16 23:38:31     简体|繁體
http://refenxiang.com/1019462.html

作者:极客Web3,来源:作者推特@eternal1997L

刚才,Ledger Connect Kit的npm库1.1.5/1.1.6/1.1.7被黑客攻击,其中植入了攻击逻辑。

Ledger Connect Kit是用于dApp连接Ledger钱包的一个库,被很多dApp集成,发布于Ledger的npm管理网站JSDELIVR上。

Ledger在该网站的账户被盗,黑客将该库替换为了有害版本。

在本次攻击的文件中可以看到,黑客直接用Drainer类替换了正常的窗口逻辑。

Drainer顾名思义就是榨取器,不仅会弹出伪造的DrainerPopup弹窗,也会处理各种资产的转账逻辑。

在Drainer类的start()方法中,会检查该钱包的余额,如果小于黑客设置的minimalDrainValue=0.001

主币,则不会启动攻击。

显然,在任何常见的EVM系网络上,余额小于这个数的钱包都不太可能有任何有价值的资产,黑客也不想浪费时间。

然后开始搜索sweets“甜点”,也就是你的资产。

对不同的资产,黑客丧心病狂地布置了约30多个case,包括ETH/BSC/ARB等知名主网的主币和其上的知名项目的代币、NFT等,只要你有相应的资产,就会直接触发转账动作。

以其中transferNative()转走主币为例,虽然发送这一步还是要取得签名的,但中招的用户应该不少。

Ledger应对方法很简单:夺回账号控制权,更新库版本1.1.8,发布新库。

可以看到1.1.8的更新记录,没有任何实际内容,只有版本号变化,因为github上的代码库并没有出问题。

Ledger在发布新版本后,一是可以让开发者使用最新的1.1.8版本而非被黑客替换的版本,二是可以让用户检查是否正在使用有问题的版本。

修复方法

对用户而言,应访问先访问https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 看看图中划出来这部分文字是否是1.1.8 ,或者更高的版本,如果是则表示安全。

如果不是,进入浏览器的开发者工具,清除缓存后完成修复。

对开发者而言,应该更新项目内的npm依赖。已经上线的项目的且不是在线动态引用库的项目,并且使用了有问题版本的,应该重新编译和部署。

Q:我不是Ledger用户,会不会受影响?

A:根据Ledger官方的介绍,这个库是用来连接Ledger钱包的。但黑客修改了弹窗逻辑,其他钱包用户也可能受影响。

Q:助记词或者私钥会被盗吗?

A:不会。不论冷钱包和热钱包,其keyring私钥管理模块都只在限定的场景内交出助记词和私钥(一般是用户要求查看助记词)。不可能暴露给任何其他函数调用。



编辑:web3528btc 来源:加密钱包代币

分享到:

  • 上一篇
    下一篇

  • 分享知识|收获智慧

    全球资讯热分享网(专注热点收集平台)
    手机查看(二维码扫一扫)

    全球资讯热分享网,最有影响力热点信息分类网站,主要集合图文、知识、日常、娱乐、财经、文化、生活、致富、女性、地区、科技等多类信息分享交流,免费提供最有价值的头条信息平台。
    « 2024年 » « 05月 »
    12345
    6789101112
    13141516171819
    20212223242526
    2728293031

    最新资讯

    如何打造拼多多单品爆款?关键技巧与思路解析
  • 2024-05-29 15:38:29

     

    拼多多关键词是什么?如何掌握搜索技巧?
  • 2024-05-29 15:34:17

     

    拼多多流量断崖式下跌该如何补救?有哪些提升流量的策略?
  • 2024-05-29 15:30:02

     

    拼多多推广曝光率多少才算正常?曝光率持续下降该如何应对?
  • 2024-05-29 15:25:51

     

    拼多多店铺如何获取并快速积累评价?
  • 2024-05-29 15:21:35

     

    拼多多预售会影响店铺权重吗?如何进行优化处理?
  • 2024-05-29 15:17:22

     

    拼多多补直通车关键词的坑产好吗?如何进行补单操作?
  • 2024-05-29 15:13:08

     

    颜夏舒金钰杜云霄全文阅读 颜夏舒金钰杜云霄小说最新章节
  • 2024-05-29 15:08:54

     

    周羡鱼谢临渊周今禾小说完整版 嫡姐为了上位逼我爬床,我却成了太子妃在线看
  • 2024-05-29 15:04:42

     

    欠拍拍贷1万2没钱还了怎么办?他们会诉讼吗?
  • 2024-05-29 15:00:26

     

    颜夏舒金钰杜云霄无广告阅读 我撕掉人皮面具,他吓傻了小说APP内阅读
  • 2024-05-29 14:56:13

     

    微粒贷欠款10万一期都没还严重吗?能提前一次性还清吗?
  • 2024-05-29 14:52:00

     

    嫡姐为了上位逼我爬床,我却成了太子妃周羡鱼谢临渊周今禾小说在线免费阅读
  • 2024-05-29 14:47:46

     

    我撕掉人皮面具,他吓傻了颜夏舒金钰杜云霄大结局小说全本阅读
  • 2024-05-29 14:43:33

     

    周羡鱼谢临渊周今禾免费阅读 周羡鱼谢临渊周今禾大结局
  • 2024-05-29 14:39:18