Angreifer kompromittierten das SDK-Projekt von Injective Labs und veröffentlichten ein bösartiges npm-Paket. Das Paket stahl private Schlüssel und Mnemonic Seed Phrases von Krypto-Wallets.
Die Sicherheitsunternehmen Socket, Ox Security und StepSecurity entdeckten den Supply-Chain-Angriff. Betroffen war die Version 1.20.21 des Pakets @injectivelabs/sdk-ts.
Injective-SDK-Malware Gelangte Über npm in Umlauf
Das Injective SDK ist ein Entwicklungs-Kit für TypeScript und JavaScript. Entwickler nutzen es, um Anwendungen für die Injective-Blockchain zu erstellen.
Die Blockchain konzentriert sich auf dezentrale Finanzanwendungen (DeFi), tokenisierte Vermögenswerte und dezentrale Börsen.
Das npm-Paket wird rund 50.000 Mal pro Woche heruntergeladen. Entwickler verwenden es in Krypto-Wallets, Trading-Bots, Zahlungslösungen und DeFi-Anwendungen.
Den Forschern zufolge kompromittierte der Angreifer das GitHub-Konto eines legitimen Projektmitwirkenden. Die ersten verdächtigen Commits erschienen am 8. Juni.
Kurz darauf veröffentlichte der Angreifer die manipulierte Version auf npm.
Angreifer Kompromittierten Weitere Pakete
Der Angreifer veröffentlichte außerdem Version 1.20.21 von 17 weiteren zugehörigen Paketen. Alle verwiesen auf die kompromittierte SDK-Version.
Der Inhaber des legitimen Kontos bemerkte den Vorfall innerhalb weniger Minuten. Er machte die Änderungen rückgängig und veröffentlichte die bereinigte Version 1.20.23.
Dennoch könnten Entwickler die manipulierten Pakete bereits heruntergeladen oder eingesetzt haben. Diese Systeme könnten weiterhin kompromittiert sein.
Laut Socket wurde das infizierte Paket 310 Mal heruntergeladen, bevor npm es als veraltet kennzeichnete. Vollständig entfernt wurde es jedoch nicht.
Die Forscher stellten außerdem fest, dass die manipulierten GitHub-Release-Dateien weiterhin verfügbar waren.
Abhängigkeiten Erhöhten Das Risiko
Das kompromittierte Paket besitzt 87 direkte Abhängigkeiten auf npm. Darüber hinaus könnten zahlreiche indirekte Abhängigkeiten ebenfalls betroffen sein.
Ox Security berichtet, dass die 87 abhängigen Pakete zusammen mehr als 112.000 Downloads verzeichneten.
Dadurch vergrößerte sich die potenzielle Reichweite des Angriffs erheblich. Projekte, die die kompromittierte Version automatisch herunterluden, könnten daher ebenfalls betroffen sein.
Malware Zielte Auf Wallet-Funktionen
Die Injective-SDK-Malware wurde nicht während der Installation aktiv.
Stattdessen wartete sie, bis Entwickler Funktionen zum Erstellen oder Importieren von Schlüsseln für Krypto-Wallets verwendeten.
In diesem Moment erfasste die Malware die vollständige Mnemonic Seed Phrase sowie den privaten Schlüssel. Anschließend kodierte sie die gestohlenen Daten mit Base64.
Danach übermittelte die Malware die Informationen per HTTP-POST an einen öffentlichen Infrastruktur-Endpunkt von Injective Labs, damit der Datenverkehr legitim wirkte.
StepSecurity stellte fest, dass die Malware die Daten nicht sofort übertrug. Stattdessen sammelte sie mehrere Schlüssel und Seed Phrases zwei Sekunden lang.
Anschließend bündelte sie die Informationen im Header der HTTP-Anfrage und übermittelte sie.
Gestohlene Schlüssel Können Wallets Leerräumen
Angreifer können gestohlene Seed Phrases oder private Schlüssel verwenden, um Krypto-Wallets auf ihren eigenen Geräten wiederherzustellen.
Nach der Wiederherstellung erhalten sie Zugriff auf die Wallets und können sämtliche verfügbaren digitalen Vermögenswerte übertragen.
Entwickler, die Version 1.20.21 verwendet haben, sollten davon ausgehen, dass ihre Wallet-Geheimnisse offengelegt wurden.
Sie sollten ihre Vermögenswerte so schnell wie möglich in neue Krypto-Wallets übertragen. Außerdem sollten sie sämtliche Geheimnisse austauschen, die in der betroffenen Umgebung gespeichert sind.
0 Kommentare zu „Injective-SDK-Malware Stiehlt Schlüssel für Krypto-Wallets“