Злоумышленники взломали JavaScript-библиотеку @solana/web3.js, ключевой инструмент, используемый для создания децентрализованных приложений на блокчейне Solana. Об этом сообщили аналитики из Anza.
Earlier today, a publish-access account was compromised for @solana/web3.js, a JavaScript library that is commonly used by Solana dapps. This allowed an attacker to publish unauthorized and malicious packages that were modified, allowing them to steal private key material and…
— Anza (@anza_xyz) December 3, 2024
2 декабря хакеры получили доступ к учетной записи, поддерживающей библиотеку. Они скомпрометировали версии 1.95.6 и 1.95.7, добавив вредоносный код, который извлекал закрытые ключи и похищал средства из протоколов.
Проекты или системы, которые загрузили и использовали эти версии библиотек, стали уязвимыми к эксплойту. По данным Solscan, в результате атаки было украдено около $160 000 в цифровых активах.
Масштаб инцидента
В компании Anza подчеркнули, что эксплойт затронул не саму сеть Solana, а библиотеку, предназначенную для разработчиков. Вредоносный код мог повлиять только на приложения, которые напрямую обрабатывают закрытые ключи, например, используя ботов. Однако Anza не раскрыла, какие проекты стали жертвами атаки.
Реакция разработчиков
Эксперты призвали всех разработчиков на Solana немедленно обновить свои библиотеки JavaScript до последней версии.
Команда криптокошелька Phantom заверила пользователей, что они никогда не использовали скомпрометированные версии библиотеки, поэтому средства пользователей в безопасности.
Phantom is not impacted by this vulnerability.
— Phantom (@phantom) December 3, 2024
Our Security Team confirms that we have never used the exploited versions of @solana/web3.js https://t.co/9wHZ4cnwa1
Аналогичные заявления сделали Solflare, Drift и Backpack, которые также не пострадали от эксплойта.
Контекст и более широкие последствия
Ранее биржа XT подверглась атаке, в результате которой злоумышленники украли $1,7 млн.
По итогам третьего квартала 2024 года убытки участников криптоиндустрии от 155 случаев взломов, эксплойтов и мошенничеств составили $753 млн, что свидетельствует о сохраняющихся уязвимостях в отрасли.
Выводы
Инцидент подчеркивает важность тщательной проверки библиотек и оперативного реагирования для обеспечения безопасности экосистем блокчейна.
Cryptol — новости о криптовалютах, информационных технологиях и децентрализованных решениях. Оставайтесь в курсе актуальных событий в мире цифровых технологий.