Hardwarová peněženka Ledger oznamuje kritickou bezpečnostní chybu! Uživetelé mají pozastavit interakci s DApps

Problémy postihly hardwarovou kryptopeněženku Leger a její uživatele, které společnost vyzvala, aby ihned pozastavili interakci s decentralizovanými aplikacemi (DApps).

Ledger oznámil, že identifikoval škodlivou verzi své spojovací sady, kusu kódu používaného k připojení hardwarových peněženek k DApps. Výrobce fyzické kryptoměnové peněženky uvádí:

Identifikovali jsme a odstranili škodlivou verzi sady Ledger Connect Kit. Pravá verze je nyní nabízena, aby nahradila škodlivý soubor. V tuto chvíli nekomunikujte s žádnými DApps. O vývoji situace vás budeme průběžně informovat. Vaše zařízení Ledger a Ledger Live nebyly ohroženy.

Uživatelé by měli zůstat v klidu a nikam se přes svá zařízení nepřipojovat, dokud se situace nevyřeší. To zahrnuje DApps, jako jsou decentralizované burzy a další protokoly.

• Pozor si dejte také na phishingové zprávy a falešná upozornění, která vyzývjí k akci na základě údajných bezpečnostních hrozeb. Pod těmito a dalšími záminkami podvodníci vyzývají své oběti, aby navšívily podvodné stránky, které mají za úkol získat různými způsoby přístup k jejich prostředkům.

Podle společnosti Ledger byl exploit objeven, když se bývalý zaměstnanec stal obětí phishingového podvodu a ztratil přístup ke svému účtu NPMJS, což je web používaný vývojáři k vytváření kódu a aplikací.

Hacker pak nahrál škodlivou verzi Ledgerovy spojovací sady, která přesměrovala prostředky od uživatelů do peněženky hackera. Ledger údajně dokázal tento problém opravit asi pět hodin po jeho uvedení do provozu.

Podle platformy pro sledování blockchainu Lookonchain se útočníkovi mezitím podařilo ukrást digitální aktiva v hodnotě asi 484 000 dolarů.

Společnost uvedla:

Dnes ráno SEČ se bývalý zaměstnanec Ledgeru stal obětí phishingového útoku, který získal přístup k účtu NPMJS. Útočník zveřejnil škodlivou verzi sady Ledger Connect Kit. Škodlivý kód použil podvodný projekt WalletConnect k přesměrování finančních prostředků do peněženky hackera.

Technologické a bezpečnostní týmy společnosti Ledger byly upozorněny a oprava byla nasazena do 40 minut poté, co se o tom Ledger dozvěděl. Škodlivý soubor byl aktivní asi pět hodin, ale domníváme se, že doba, kdy po kterou docházelo k odčerpání prostředků, byla omezena na časové okno kratší než dvě hodiny…

Originální a ověřená sada Ledger Connect Kit verze 1.1.8 se nyní šíří a lze ji bezpečně používat. Ledger spolu s Walletconnect a našimi partnery nahlásili adresu peněženky útočníka. Adresa je nyní viditelná na Chainalysis. Tether zmrazil USDT dotyčného aktéra.

Ledger v oznámení nevysvětlil, jak mohl bývalý zaměstnanec mít přístup k systémům, které právě způsobily ztráty některým uživatelům peněženky. Společnost doporučila na interkci s Ledger Connect Kit počkat aspoň 24 hodin a údajně pracuje na pomoci těm, kterých se útok dotkl a spolupracuje s orgány činnými v trestním.