Ledger Code Library Attacker drar $480k efter att ha kompromissat med dussintals Web3 Dapps

Ett kodbibliotek som upprätthålls av kryptoplånboksleverantören Ledger komprometterades idag och satte användarmedel på spel i mer än fem timmar.

Enligt etherscan.io rymmer adressen ungefär 66 ETH från 75 tokens, värda ungefär $98,000 XNUMX, med Lookonchain rapportera att angriparen lyckades dränera $484,000 XNUMX i tillgångar. Angriparens adress var svartlistad av USDT-utgivaren Tether.

Ledger, den största leverantören av hårdvaruplånbok efter antal användare, posted den X att en säker version av dess Ledger Connect Kit sprids automatiskt. Företaget rekommenderar att du väntar i 24 timmar innan du interagerar med kontakten igen.

Angriparen infekterade Ledger’s Connect Kit – ett populärt kodbibliotek som underlättar interaktioner mellan användarplånböcker och dApps – med skadlig programvara i en så kallad "supply-chain attack".

Kryptoanvändare i riskzonen

Alla användare som bekräftar transaktioner med kryptoplånböcker, oavsett om de är via Ledger eller inte, riskerade att förlora pengar, eftersom många web3 dapps använder Ledgers bibliotek. Framstående kryptoutvecklare uppmanade användare att inte interagera med några web3 dApps.

Matthew Lilley, CTO för Sushi, flaggade utnyttjandet på sociala medier. Banteg, en kärnbidragsgivare för Yearn, skrev att Ledgers bibliotek hade äventyrats och "ersatts med en dränering".

Ledger twittrade ungefär en timme efter att exploateringen identifierades för att säga att den hade tagit bort den skadliga koden.

"Den skadliga versionen av filen ersattes med den äkta versionen runt 2:35 CET," sa Ledger. "Din Ledger-enhet och Ledger Live komprometterades inte... Vi kommer att tillhandahålla en omfattande rapport så snart den är klar."

Den skadliga programvaran var aktiv i 5 timmar, även om företaget lyckades korrigera och åtgärda problemet inom 40 minuter efter att de upptäckte det, säger Ledger. Ledger har också roterat behörigheter för att publicera på sin Github.

SushiBytoch Återkalla.Kontanter har uppdaterat sina bibliotek med den fasta versionen zapper meddelade att de inaktiverade den komprometterade frontend.

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• PlatoHealth. Biotech och kliniska prövningar Intelligence. Tillgång här.
• Källa: https://thedefiant.io/defi-users-urged-not-to-interact-with-web3-dapps-amid-major-exploit