数千の暗号通貨ウォレットが月曜日に危険に晒されました。
ハッカーがXRPレジャーのRipple公式JavaScriptライブラリを侵害し、秘密鍵とウォレット資格情報を窃取するコードを挿入しました。
知っておくべきこと:
- セキュリティ研究者が無許可のコードをxrpl.jsライブラリで検出したのは、東部標準時間月曜日の4:46 PMから5:49 PMの間です
- 悪意のあるコードは、攻撃者が管理するサーバーにウォレットの種や秘密鍵を送信できました
- 主要なXRPプロジェクトは安全性を確認していますが、影響を受けたバージョンをダウンロードしたユーザーは直ちに資産を移行するよう勧告されています
セキュリティ侵害の詳細
脆弱性は、暗号通貨に特化したサイバーセキュリティ企業Aikidoによって発見されました。研究者たちは、公式のNode Package Managerによるxrpl.jsのディストリビューションに疑わしいコードを特定しました。
1時間の間にNPMレジストリに発行された複数のバージョンのライブラリが、ユーザーのウォレットを脅かすバックドア機能を含んでいました。
この脅威を特定したセキュリティ研究者チャーリー・エリクセンは、この事件を暗号通貨のサプライチェーンに対する潜在的に壊滅的なリスクとして表現しました。侵害されたパッケージは、機密のウォレット資格情報を窃取し、それを攻撃者が制御するサーバーに直接送信することができます。このアクセスにより、脅威のある攻撃者は影響を受けたウォレットをコントロールし、許可なくデジタル資産を流出させる可能性があります。
「侵害されたコードと関与した可能性がある場合、ウォレットキーが漏洩していると考えるべきです」とエリクセンはセキュリティ速報で警告しました。「影響を受けた鍵は退役させ、新しいウォレットに資産を移行する必要があります。」
脆弱性の範囲は、月曜日の短い露出期間に汚染されたバージョンをダウンロードして統合したサービスに限定されているようです。この期間中に依存関係を更新しなかったアプリケーションやプロジェクトは、事件に精通したセキュリティ専門家によれば、影響を受けていない可能性が高いです。
いくつかの著名なXRPエコシステムプロジェクト、Xaman WalletやXRPScanを含む、はそのプラットフォームが安全であることを確認する声明を発表しました。それにも関わらず、暗号通貨業界全体のセキュリティ専門家は、ユーザーと開発者の両方に対して注意を徹底するよう強く促しています。
対応と緩和策
XRPレジャーファウンデーションのエンジニアたちは、侵害が確認され次第迅速に対応しました。xrpl.jsライブラリの更新された安全なバージョンは、発見後すぐに発表され、NPM上で以前に利用可能だった悪意のあるパッケージを効果的に無効化しました。開発チームは、潜在的な悪用を防ぐために、すべてのユーザーとプロジェクトが直ちに最新の安全なバージョンに更新することを勧告しています。
公式声明で、XRPレジャーファウンデーションは、内部セキュリティレビューの完了後に包括的なポストモーテム分析を公開することを約束しました。
この分析は、攻撃ベクトルと将来のインシデントをどのように防ぐかに関する追加の詳細を提供する可能性があります。
その間、xrpl.jsをプロジェクトに依存している開発者には、コードベースを徹底的に監査し、影響を受けたライブラリバージョンへの潜在的な露出を特定するよう強く勧告されています。これらの勧告の急務性は、脆弱性の深刻な性質を反映しています。
この侵害は、Rippleエコシステム内でのxrpl.jsの広範な採用のために重要性を増しています。XRPレジャーファウンデーションの公式ライブラリとして、JavaScriptに基づくブロックチェーンの相互作用を可能にするこのパッケージは、数多くのアプリケーションやサービスにわたってウォレットの機能やトークンの転送を可能にしています。
攻撃の前週に報告された140,000以上のダウンロードに超えるこのライブラリの人気は、悪意のあるコードが長期間検出されなかった場合の影響力と影響範囲を示しています。セキュリティアナリストたちは、迅速な発見が、さらに破壊的な事件になり得たものを限定したと指摘しています。
このセキュリティ侵害は、暗号通貨業界をターゲットにしたサプライチェーン攻撃の増加のパターンにおけるもう一つの例です。このような事件は、広く利用されているオープンソースの依存関係に重く依存している業界を利用し、侵害された場合には重大な金融的被害のベクトルになる可能性があります。
最終的な考え
xrpl.jsライブラリ侵害の迅速な検出と対応は、XRPエコシステム全体の広範な金融的損失を防いだと考えられます。この事件は、暗号通貨インフラに内在するセキュリティ脆弱性と、オープンソースの依存関係の継続的な監視の重要性を痛感させるものです。