Az új dYdX-támadás után üres a kriptotárcád? Nem vagy egyedül
A nyílt forráskódú npm és PyPI csomagkezelőkbe olyan csomagokat töltöttek fel, amelyek kifejezetten a dYdX kriptotőzsde fejlesztőit célozták meg. Ezek a fertőzött programcsomagok ellopták a pénztárcákhoz tartozó hitelesítő adatokat, és bizonyos esetekben hátsó ajtót is telepítettek az érintett eszközökre. Ez legalább a harmadik eset, hogy a dYdX a kiberbűnözők célkeresztjébe került, és most súlyos kriptovaluta-lopásokhoz vezetett. Minden olyan alkalmazás, amely a kompromittált npm- és PyPI-csomagokon alapult, közvetlen veszélyben volt, beleértve a fejlesztői és az éles rendszereket is.
Hogyan működött a támadás?
Az npm-es csomagba bújtatott kód akkor lépett akcióba, amikor a fejlesztő vagy a felhasználó begépelte a wallet seed phrase-ét, vagyis a pénztárca-helyreállító kulcsszavakat. Ezeket és az eszköz digitális ujjlenyomatát azonnal elküldte egy látszólag hivatalos, valójában hamis webcímre (dydx[.]priceoracle[.]site), amely nagyon hasonlít az eredeti dYdX szolgáltatás domainjéhez (dydx[.]xyz), de csak a csalóknak kedvez.
A PyPI-csomag hasonlóan működött, de ezen kívül egy távoli hozzáférésű trójait (RAT-et) is tartalmazott, amellyel a támadók bármilyen Python-kódot lefuttathattak a fertőzött gépeken, ellophatták a legérzékenyebb adatokat (SSH-kulcsok, API-jelszavak, forráskód), figyelhették a felhasználókat, módosíthattak vagy törölhettek kritikus fájlokat, sőt a hálózat más eszközeire is átléphettek. A trójai 10 másodpercenként kommunikált a vezérlőszerverrel, egy előre beállított engedélyezési tokennel.
Miért történhetett meg?
A fertőzött csomagokat hivatalos dYdX-fiókokból töltötték fel, így valószínű, hogy ezek a fiókok is kompromittálódtak. A támadás ismét azt bizonyítja, hogy a jól ismert disztribúciós csatornák, mint például az npm és a PyPI, már nem feltétlenül biztonságosak. Nem először történik hasonló betörés: 2022-ben ellátásilánc-támadás érte az npm-et, 2024-ben pedig hamis DNS-bejegyzések miatt irányították át a dYdX v3 felhasználóit csaló oldalakra, amelyek kiürítették a kriptotárcáikat.
Minden dYdX-felhasználónak és -fejlesztőnek sürgősen ellenőriznie kell, hogy saját alkalmazásaik használták-e a fenti fertőzött csomagokat (npm: 3.4.1, 1.22.1, 1.15.2, 1.0.31; PyPI: 1.1.5post1). Ha igen, ezeket azonnal le kell cserélni, új hitelesítő adatokat kell létrehozni, és alaposan át kell vizsgálni az informatikai rendszereket további fertőzések után kutatva.
2025, adrienne, arstechnica.com alapján
filózó
Te hogyan védenéd meg a saját adataidat egy ilyen helyzetben?
Te mit tettél volna, ha a te fejlesztői fiókodat törik fel?
👶 A babák világra jövetele különleges, mégis megdöbbentően összetett folyamat. Az emberi terhesség átlagosan kilenc hónapig tart, három szakaszra – trimeszterre – oszlik, és már a fogantatás előtt, a menstruációs ciklus kezdőnapjától számítják...
A világ legnagyobb származékos tőzsdéje, a CME Group június 1-jén elindítja a bitcoin volatilitásalapú határidős ügyleteit, amint megkapja a szükséges szabályozói engedélyeket...
Svájcban ismét elhalt egy merész kezdeményezés, amely arra irányult, hogy a Svájci Nemzeti Bank arany- és külföldi devizatartalékai mellett bitcoint is felhalmozzon...
📢 Tizennégy év után ismét lehetőség nyílik arra, hogy vállalatok, szervezetek vagy akár városok saját felső szintű domainnevet (top-level domain, röviden TLD) birtokoljanak az interneten...
A hosszú, mély merülések extrém terhelést jelentenek a tengeri emlősöknek. Ilyenkor a szív és az agy kivételével a többi szerv áttér oxigén nélküli anyagcserére, aminek következtében tejsav halmozódik fel...
A szárazfatermeszek mesterien rejtőzködnek, fából készült épületek belsejében csendben táplálkoznak és gyarapodnak, míg a tulajdonosok csak a károk észlelése után szembesülnek a jelenlétükkel...
🔨 Érdemes megvizsgálni, hogy a modern ember ősrokonai mennyire képesek voltak alkalmazkodni a szélsőséges körülményekhez: a közép-kínai Lingjing lelőhely feltárásán kivételesen fejlett kőeszközökre bukkantak, amelyek körülbelül 146 ezer évvel ezelőtt készültek...
A mai vállalatok egyre bátrabban telepítenek autonóm MI-rendszereket, ám ezek magától értetődő magabiztossággal képesek váratlanul, akár katasztrofálisan hibázni...
🚀 Érdemes megjegyezni, hogy az Abiotikus tényező fejlesztői ismét egy hatalmas frissítést adtak ki, amely tovább bővíti a játék eleve hatalmas világát...
Május második hetének technológiai újdonságai minden eddiginél színesebbek: fizetős kárpótlás az iPhone-tulajdonosoknak, egy új „zseniális” Google Fitbit, legendás játék visszatérése Switch 2 konzolra, valamint a Vine feltámadása is elfért a hét legfontosabb techhírei között...
👑 Aki Ázsiába utazik, hamar szembesül azzal, hogy a helyi közlekedéshez, ételrendeléshez és tájékozódáshoz kötelező letölteni az ottani appokat, hiszen az európai vagy magyar alkalmazások gyakran használhatatlanok...
Ilyen eset például, amikor egy új játékra vagy irodai munkára keresel számítógépet, de a RAM-árak az egekben járnak, így nehéz jó ár-érték arányú, előre összeszerelt gépet találni...
Modderek körében népszerű ötlet, hogy klasszikus játékokat integrálnak a modern környezetbe, de kevesen viszik ezt olyan extrém szintre, mint RPGKing117, aki sorra varázsolja be a legendás szerepjátékokat a Fallout 4 univerzumába...
