हैकर्स ने व्यापक रूप से जावास्क्रिप्ट सॉफ्टवेयर लाइब्रेरी का उपयोग किया है, जिसे इतिहास में सबसे बड़ी आपूर्ति श्रृंखला हमला कहा जा रहा है। इंजेक्ट किए गए मैलवेयर को कथित तौर पर वॉलेट पते को स्वैप करके और लेनदेन को इंटरसेप्ट करने के लिए क्रिप्टो को चुराने के लिए डिज़ाइन किया गया है।

सोमवार को कई रिपोर्टों के अनुसार, हैकर्स एक प्रसिद्ध डेवलपर और गुप्त रूप से नोड पैकेज मैनेजर (एनपीएम) खाते में टूट गए जोड़ा लाखों ऐप्स द्वारा उपयोग किए जाने वाले लोकप्रिय जावास्क्रिप्ट पुस्तकालयों के लिए मैलवेयर।

दुर्भावनापूर्ण कोड स्वैप या हाइजैक क्रिप्टो वॉलेट पते, अरबों डाउनलोड की परियोजनाओं के मूल्य जोखिम में डालते हैं।

“एक बड़े पैमाने पर आपूर्ति श्रृंखला हमला प्रगति में है: एक प्रतिष्ठित डेवलपर के एनपीएम खाते से समझौता किया गया है,” लेजर के मुख्य प्रौद्योगिकी अधिकारी चार्ल्स गुइलमेट आगाह सोमवार को। “प्रभावित पैकेज पहले से ही 1 बिलियन से अधिक बार डाउनलोड हो चुके हैं, जिसका अर्थ है कि संपूर्ण जावास्क्रिप्ट पारिस्थितिकी तंत्र जोखिम में हो सकता है।”

उल्लंघन लक्षित पैकेज जैसे कि चाक, पट्टिका और रंगीन – अनगिनत परियोजनाओं की निर्भरता वाले पेड़ों में गहरी छोटी उपयोगिताएं दफन हो गईं। साथ में, इन पुस्तकालयों को प्रत्येक सप्ताह एक अरब से अधिक बार डाउनलोड किया जाता है, जिसका अर्थ है कि डेवलपर्स भी जिन्होंने कभी भी उन्हें स्थापित नहीं किया, उन्हें उजागर किया जा सकता है।

एनपीएम डेवलपर्स के लिए एक ऐप स्टोर की तरह है – एक केंद्रीय पुस्तकालय जहां वे जावास्क्रिप्ट परियोजनाओं के निर्माण के लिए छोटे कोड पैकेज साझा करते हैं और डाउनलोड करते हैं।

हमलावरों ने एक क्रिप्टो-क्लिपर, एक प्रकार का मैलवेयर लगाया है जो चुपचाप लेनदेन के दौरान बटुए के पते को बदल देता है। सुरक्षा शोधकर्ताओं ने चेतावनी दी कि सॉफ्टवेयर वॉलेट पर भरोसा करने वाले उपयोगकर्ता विशेष रूप से कमजोर हो सकते हैं, जबकि हार्डवेयर वॉलेट पर हर लेनदेन की पुष्टि करने वाले लोग संरक्षित हैं।

यह स्पष्ट नहीं है कि मैलवेयर भी सीधे बीज वाक्यांशों को चुराने का प्रयास करता है या नहीं।

यह एक विकासशील कहानी है, और उपलब्ध होने के साथ ही आगे की जानकारी जोड़ी जाएगी।

पत्रिका: एक 30,000 फोन बॉट फार्म के अंदर असली उपयोगकर्ताओं से क्रिप्टो एयरड्रॉप्स चोरी