Ledger Connect Kit攻击事件复盘_每日快讯(日常热点指南)

Ledger Connect Kit攻击事件复盘


Ledger Connect Kit攻击事件复盘

  2023-12-16 19:43:56     简体|繁體
http://news.qghjm.com/1019353.html

作者:极客Web3,来源:作者推特@eternal1997L

刚才,Ledger Connect Kit的npm库1.1.5/1.1.6/1.1.7被黑客攻击,其中植入了攻击逻辑。

Ledger Connect Kit是用于dApp连接Ledger钱包的一个库,被很多dApp集成,发布于Ledger的npm管理网站JSDELIVR上。

Ledger在该网站的账户被盗,黑客将该库替换为了有害版本。

在本次攻击的文件中可以看到,黑客直接用Drainer类替换了正常的窗口逻辑。

Drainer顾名思义就是榨取器,不仅会弹出伪造的DrainerPopup弹窗,也会处理各种资产的转账逻辑。

在Drainer类的start()方法中,会检查该钱包的余额,如果小于黑客设置的minimalDrainValue=0.001

主币,则不会启动攻击。

显然,在任何常见的EVM系网络上,余额小于这个数的钱包都不太可能有任何有价值的资产,黑客也不想浪费时间。

然后开始搜索sweets“甜点”,也就是你的资产。

对不同的资产,黑客丧心病狂地布置了约30多个case,包括ETH/BSC/ARB等知名主网的主币和其上的知名项目的代币、NFT等,只要你有相应的资产,就会直接触发转账动作。

以其中transferNative()转走主币为例,虽然发送这一步还是要取得签名的,但中招的用户应该不少。

Ledger应对方法很简单:夺回账号控制权,更新库版本1.1.8,发布新库。

可以看到1.1.8的更新记录,没有任何实际内容,只有版本号变化,因为github上的代码库并没有出问题。

Ledger在发布新版本后,一是可以让开发者使用最新的1.1.8版本而非被黑客替换的版本,二是可以让用户检查是否正在使用有问题的版本。

修复方法

对用户而言,应访问先访问https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 看看图中划出来这部分文字是否是1.1.8 ,或者更高的版本,如果是则表示安全。

如果不是,进入浏览器的开发者工具,清除缓存后完成修复。

对开发者而言,应该更新项目内的npm依赖。已经上线的项目的且不是在线动态引用库的项目,并且使用了有问题版本的,应该重新编译和部署。

Q:我不是Ledger用户,会不会受影响?

A:根据Ledger官方的介绍,这个库是用来连接Ledger钱包的。但黑客修改了弹窗逻辑,其他钱包用户也可能受影响。

Q:助记词或者私钥会被盗吗?

A:不会。不论冷钱包和热钱包,其keyring私钥管理模块都只在限定的场景内交出助记词和私钥(一般是用户要求查看助记词)。不可能暴露给任何其他函数调用。



编辑:web3528btc 来源:加密钱包代币

免责声明:以上文章内容信息均搜集自互联网或用户发布,并不代表本站观点或立场,本站不对其真实合法性负责。如有信息侵犯了您的权益,请联系本站将立即删除。
分享到:

  • 上一篇
    下一篇

  • 今日要闻|实事关注

    每日快讯(日常热点指南)
    手机查看(二维码扫一扫)

    每日快讯网为您提供最新的行业简讯、新闻报道,以及今日热点内容,重大事件等实时资讯,24小时不间断播报,让您获得最新行业信息。
    « 2022年 » « 03月 »
    123456
    78910111213
    14151617181920
    21222324252627
    28293031

    最新资讯

    有其母必有其女?这一次,张凯丽也拯救不了“任性妄为”的女儿
  • 2025-07-12 06:50:07

     

    爱和责任——烟台“7·8全国保险公众宣传日”活动侧记
  • 2025-07-12 06:43:02

     

    白冰演技太神了!《以法之名》藏得最深的保护伞现身:竟然是江敏
  • 2025-07-12 06:35:56

     

    伊能静秦昊巴黎同框!真实身材状态引围观
  • 2025-07-12 06:28:51

     

    信用卡逾期银行起诉会怎么样吗?
  • 2025-07-12 06:21:46

     

    [代运营托管]痛风 血糖 肺结节 骨病精准粉
  • 2025-07-12 06:14:40

     

    [代运营托管]艾灸罐,泡酒瓶,食疗养生,控糖书,熊胆粉,有好量,注册50-60+,来私
  • 2025-07-12 06:07:35

     

    [代运营托管]小病种大健康软文/表单代运营!二跳 企微 全新加白资质,流量精准,起量快
  • 2025-07-12 06:00:29

     

    [开户代运营]耳病,眼病,血糖,疝气,减肥,甲状腺,驼奶,眼袋,祛斑,心脑,腰椎等软文加粉量
  • 2025-07-12 05:53:24

     

    [开户代运营]百度(baidu)核代电商一代政策—食品功效等端口+cid国学ai教程养生等 千川对私4——
  • 2025-07-12 05:46:19

     

    [开户代运营]千川开户对公专票稳定高点1.5起!电商引流cid对公开票2.5+!
  • 2025-07-12 05:39:14

     

    [开户代运营]腾讯广告投放渠道,房产汽车、金融、教育、K12等不限行业不限地区,无资质可投
  • 2025-07-12 05:32:08

     

    [开户代运营]本地推团购类政策15,线索类14(234类),千川白牌对公2,腾讯k6内循环3,需要
  • 2025-07-12 05:25:03

     

    [开户代运营]百度(baidu):电商培训,情感,厌学,自闭,宝宝说话晚,母婴,国际物流,养殖,开锁,苗木
  • 2025-07-12 05:17:57

     

    [开户代运营]抖音 快手 百度(baidu) 广点通企业D 欢迎来咨询
  • 2025-07-12 05:10:52