CryptoSlate
Kuzey Kore bağlantılı bir yüklenici, Consensys sürümleri duraklatmadan önce yaklaşık bir ay boyunca MetaMask kaynak koduna erişebildi. Bu olay, kriptodaki tedarik zinciri saldırı yüzeyinin artık yayımlanmış kodun belirgin biçimde önüne kaydığını gösteriyor. Üçüncü taraf bir satıcı üzerinden çalışan bu yüklenicinin sahip olduğu depo ve geliştirme kimlik bilgileri, tek bir ele geçirilmiş iş istasyonunun on milyonlarca kullanıcının kullandığı cüzdan mantığına ulaşmasına izin verecek türdendi.
Neden önemli
Bu kampanya, yeni bir katmana uygulanmış tanıdık bir DPRK oyun planına uyuyor: son kullanıcıları değil, geliştiricileri hedef almak. Saldırganlar bir yüklenicinin makinesinden GitHub tokenları, SSH anahtarları, bulut kimlik bilgileri, cüzdan dosyaları ve ortam değişkenleri çalarak, herhangi bir denetim veya zincir üstü izlemenin yakalama şansı olmadan haftalar önce bir protokolün sürüm hattına zararlı kod yerleştirebilir. Kullanıcıların fon kaybetmesi için cüzdanın kendisinin hiç ele geçirilmesi gerekmez. Bir sonraki istemci güncellemesiyle çıkan derleme, yükü taşıyabilir.
Piyasa etkisi
MetaMask'in kullanıcı tabanı onu bu kategoride en görünür hedef haline getiriyor, ancak kriptonun geri kalanı için okuma yapısal. Artık dış kaynaklı mühendisliğe veya üçüncü taraf katkıda bulunanlara dayanan her proje aynı tehdit modelini varsaymak zorunda: çevre artık akıllı sözleşme değil, geliştiricinin dizüstü bilgisayarı ve üzerinden bildirim yaptığı satıcıdır. Katkıda bulunanlar için daha sıkı inceleme, depo erişiminde zorunlu donanım anahtarı MFA'sı ve derleme doğrulamasına yönelik yenilenmiş denetim, temel yanıt olarak öne çıkacak.
Sıkça sorulan sorular
-
MetaMask yüklenici olayıyla ilgili ne oldu?
Kuzey Kore bağlantılı bir yüklenici, üçüncü taraf bir satıcı üzerinden çalışarak Consensys sürümleri duraklatmadan önce yaklaşık bir ay boyunca MetaMask kaynak koduna erişti. Bu durum, zehirli kodun cüzdanın derleme hattına ulaşmış olabileceği endişelerini artırdı.
-
Geliştirici odaklı bir tedarik zinciri saldırısı nasıl işler?
Saldırganlar bir yüklenicinin iş istasyonunu ele geçirir ve GitHub tokenları, SSH anahtarları, bulut kimlik bilgileri, cüzdan dosyaları ve ortam değişkenleri çalar. Ardından, herhangi bir denetim veya zincir üstü izlemenin yakalamasından haftalar önce projeye veya sürüm hattına zararlı kod enjekte ederler.
-
Bu neden cüzdanı doğrudan hacklemekten daha riskli?
Kullanıcıların fon kaybetmesi için son kullanıcı cüzdanının ihlal edilmesi gerekmez. Bir sonraki istemci güncellemesiyle çıkan zehirli bir derleme, yükü doğrudan her MetaMask kullanıcısına taşıyabilir ve etki alanını tek bir hedefin ötesine büyütür.
-
Bu kampanyanın arkasında hangi tehdit aktörünün olduğu düşünülüyor?
Yüklenicinin, kripto geliştiricilerini oltalama, sahte işe alımcılar ve ele geçirilmiş satıcı ilişkileri üzerinden hedefleme geçmişi belgelenmiş, devlete bağlı bir aktör olan Kuzey Kore ile bağlantılı olduğu düşünülüyor.
-
Kripto projeleri buna karşı ne yapmalı?
Katkıda bulunanlar için daha sıkı inceleme, depo erişiminde zorunlu donanım anahtarı MFA'sı, daha dar satıcı izinleri ve derleme doğrulamasına daha fazla önem beklenmeli. Böylece aşağı akıştaki kullanıcılar gerçekten ne çalıştırdıklarını doğrulayabilir.
Lookonchain
TheBlock
CoinTelegraph
WatcherGuru
WuBlockchain
CoinDesk