Bösartiges Injective-SDK-Paket zielt auf private Schlüssel und Seed-Phrasen ab

Eine bösartige Version eines Softwaretools, das von Injective-Entwicklern verwendet wurde, war darauf ausgelegt, Wallet-Private-Keys und Seed-Phrasen zu sammeln, was Bedenken für Anwendungen aufwarf, die sensible Wallet-Informationen über die betroffene Version verarbeiteten. Hacker kompromittierten ein Softwarepaket, das von Entwicklern zum Erstellen von Wallets und Anwendungen für die Injective-Blockchain genutzt wurde, und fügten Code hinzu, der in der Lage war, Krypto-Wallet-Zugangsdaten heimlich zu sammeln.

Das Sicherheitsunternehmen Socket fand den bösartigen Code in Version 1.20.21 von @injectivelabs/sdk-ts, einem Paket, das Anwendungen dabei hilft, sich mit Injective zu verbinden und walletbezogene Funktionen zu verwalten. Das Paket erhält normalerweise etwa 50.000 Downloads pro Woche, wobei diese Zahl alle Versionen umfasst und nicht die Anzahl der vom Vorfall betroffenen Personen widerspiegelt.

Socket gab an, dass die kompromittierte Version etwa 310 Mal heruntergeladen wurde. Ein Download bedeutet jedoch nicht automatisch, dass ein Wallet-Schlüssel offengelegt wurde. Der gefährliche Code hätte ausgeführt werden müssen, während eine Anwendung einen Private Key oder eine Seed-Phrase verarbeitete. Es wurde keine bestätigte Anzahl betroffener Wallets veröffentlicht, und es gibt keine öffentlichen Beweise dafür, dass Gelder gestohlen wurden.

Der Vorfall beinhaltete keinen Bruch der Injective-Blockchain selbst. Stattdessen zielten die Angreifer auf eine vertrauenswürdige Softwarekomponente ab, die von Entwicklern verwendet wird, eine Methode, die allgemein als Software-Lieferkettenangriff bezeichnet wird.

Bösartiger Code war in einem vertrauenswürdigen Tool versteckt

Entwickler verlassen sich oft auf vorgefertigte Softwarepakete, anstatt jeden Teil einer Anwendung von Grund auf neu zu schreiben. Diese Pakete können Aufgaben wie die Verbindung mit einer Blockchain, das Erstellen von Wallets und das Signieren von Transaktionen übernehmen. In diesem Fall wurde der bösartige Code in einem offiziellen Injective-Paket platziert und war so konzipiert, dass er aktiviert wurde, wenn eine Anwendung sensible Wallet-Informationen verarbeitete. Socket erklärte, dass es einen Private Key oder eine mnemonische Seed-Phrase erfassen und versuchen könnte, die Daten zu versenden, während die Aktivität als gewöhnliche technische Berichterstattung getarnt wurde.

Ein Private Key gibt seinem Inhaber die Kontrolle über das zugehörige Krypto-Wallet. Eine Seed-Phrase kann verwendet werden, um dasselbe Wallet auf einem anderen Gerät wiederherzustellen. Im Gegensatz zu einem normalen Kontopasswort können diese Zugangsdaten nach ihrer Offenlegung nicht einfach zurückgesetzt werden.

Kompromittierungen von Private Keys sind zu einer der schädlichsten Formen von Krypto-Angriffen geworden, da Kriminelle die direkte Kontrolle über Wallets übernehmen können, ohne die zugrunde liegende Blockchain brechen zu müssen. Eine recente Sicherheitsüberprüfung ergab, dass Vorfälle mit Private Keys etwa 40 % der in dem untersuchten Datensatz verzeichneten Verluste ausmachten. Der Injective-Vorfall zeigt auch, warum Angreifer zunehmend Software und Plattformen ins Visier nehmen, denen Nutzer bereits vertrauen. Ein bekannter Paketname, ein etabliertes Entwicklerkonto oder eine anerkannte Anwendung kann bösartige Aktivitäten legitim erscheinen lassen und die Wahrscheinlichkeit verringern, dass Nutzer sie hinterfragen.

Socket sagte, die unbefugten Änderungen seien über das GitHub-Konto eines Entwicklers eingereicht worden, der eine nachweisbare Historie von Beiträgen zum Injective-Projekt habe. Der echte Kontoinhaber entdeckte die Aktivität später und machte die Änderungen rückgängig. Der verfügbare Bericht identifiziert den Angreifer nicht und erklärt nicht, wie auf das Konto zugegriffen wurde.

Siebzehn verwandte Pakete erhöhten die mögliche Exposition

Der Wallet-stehlende Code befand sich in Version 1.20.21 des Haupt-Injective-SDK-Pakets. Allerdings wurden 17 andere Pakete innerhalb der Injective-npm-Sammlung mit Verknüpfungen zur gleichen betroffenen Version veröffentlicht. Dies bedeutete, dass einige Entwickler die kompromittierte Software indirekt erhalten haben könnten. Eine Anwendung hat möglicherweise ein Injective-Paket installiert, während dieses Paket das betroffene SDK im Hintergrund automatisch mit einbezog.

Der Vorfall sollte daher nicht als 18 separat infizierte Pakete beschrieben werden. Die verfügbaren Beweise zeigen, dass das Haupt-SDK die bösartige Funktionalität enthielt, während 17 verwandte Pakete direkt oder indirekt von dieser Version abhingen. Socket gab an, dass die betroffene Version als veraltet markiert wurde, nachdem der Kompromiss entdeckt und eine saubere Version veröffentlicht worden war. Zum Zeitpunkt des Berichts von Socket war die kompromittierte Version jedoch noch nicht vollständig von npm entfernt, und zugehöriges Release-Material war weiterhin über GitHub verfügbar.

Die Berichte unterscheiden sich auch hinsichtlich des genauen Datums des Vorfalls. Die von Socket veröffentlichte Zeitleiste bezieht sich auf den 8. Juni, während einige sekundäre Berichte die Aktivität im Juli verorten. Da der Monat nicht unabhängig geklärt wurde, sollte das genaue Datum der Quelle zugeordnet werden, anstatt es als unbestrittene Tatsache darzustellen.

Entwickler und betroffene Wallet-Nutzer sollten offengelegte Zugangsdaten ersetzen

Entwickler, die Version 1.20.21 entweder direkt oder über ein anderes Injective-Paket verwendet haben, wird empfohlen, davon auszugehen, dass Wallet-Zugangsdaten, die von der betroffenen Software verarbeitet wurden, offengelegt worden sein könnten.

Empfohlene Maßnahmen umfassen:

• Überprüfung der Projektdateien und Installationsaufzeichnungen auf Version 1.20.21.
• Aktualisierung der betroffenen Injective-Pakete auf eine verifizierte, saubere Version.
• Löschen gespeicherter Paketkopien und Neuerstellung der Anwendungen.
• Erstellen neuer Private Keys und Seed-Phrasen.
• Verschieben von Vermögenswerten aus Wallets, die Zugangsdaten verwendeten, die von der betroffenen Software verarbeitet wurden.
• Überprüfung der Wallet-Aktivitäten auf unbefugte Transaktionen.
• Widerruf von Berechtigungen, die zuvor von potenziell exponierten Wallets erteilt wurden.

Die alleinige Aktualisierung des Pakets schützt ein Wallet möglicherweise nicht, wenn seine Zugangsdaten bereits kopiert wurden. Sobald eine andere Partei einen Private Key oder eine Seed-Phrase erhält, sollte das alte Wallet nicht mehr als sicher betrachtet werden. Wallet-Nutzer müssen auch die von ihnen genehmigten Berechtigungen prüfen. In einem separaten Fall stahl ein Angreifer etwa 92.000 $ in Tether Gold, nachdem ein Opfer eine bösartige Berechtigungsanfrage signiert hatte, was zeigt, dass Kriminelle nicht immer direkt eine Seed-Phrase erlangen müssen, um Vermögenswerte zu stehlen.

Obwohl in diesem Fall eine andere Technik angewendet wurde, hebt er dasselbe größere Problem hervor: Die Krypto-Sicherheit hängt nicht nur von der Blockchain ab, sondern auch von der Software, den Genehmigungen und den Diensten, die ein Wallet umgeben. Derzeit gibt es keine Beweise dafür, dass die Injective-Blockchain gehackt wurde, dass jedes Injective-Wallet gefährdet war oder dass eine bestätigte Menge an Kryptowährung gestohlen wurde. Die bekannte Gefahr beschränkt sich auf Anwendungen, die das kompromittierte Paket installierten und Wallet-Zugangsdaten darüber verarbeiteten.