Ledger CTO'su NPM Saldırısına Dikkat Çekti

Yazılım Geliştiricinin Hesabı Tehdit Altında

Ledger’ın baş teknoloji sorumlusu Charles Guillemet, X sosyal medya platformunda yaptığı paylaşımda, güvenilir bir yazılım geliştiricinin Node Package Manager (NPM) hesabının ele geçirilmesiyle büyük ölçekli bir tedarik zinciri saldırısının başladığını duyurdu. Guillemet, bu saldırının kötü niyetli kodun, 1 milyardan fazla indirme yapılmış paketlere yerleştirildiğini ve bu kodun işlemler sırasında kripto cüzdan adreslerini sessizce değiştirmek için tasarlandığını açıkladı.

Kullanıcılar Tehlikede

Guillemet, bu durumun farkında olmayan kullanıcıların, saldırganlara doğrudan fon gönderebileceği konusunda uyarıda bulundu. Guillemet, ele geçirilen geliştiricinin ismini açıklamamakla birlikte, açık kaynak yazılımının ne denli birbirine bağlı olduğunu ve geliştirici araçlarındaki güvenlik açıklarının kripto ekonomisini anında etkileyebileceğini vurguladı. “NPM, JavaScript kullanarak yazılım geliştirme sürecinde yaygın olarak kullanılan bir araçtır ve geliştiricilerin paketleri kolaylıkla entegre etmesine yardımcı olur,” dedi.

Kötü Amaçlı Kodun Etkisi

Saldırgan, bir geliştiricinin hesabını ele geçirdiğinde, yaygın olarak kullanılan paketlere kötü niyetli kod ekleyebilir. Guillemet, “Bu kötü niyetli kod, kullanıcıların işlem veya genel on-chain aktivitelerinde kullandığı adresleri değiştirerek, hacker'ın adresiyle değiştirmeyi amaçlamaktadır.” diye ekledi. Guillemet, herhangi bir merkeziyetsiz uygulama veya yazılım cüzdanının bu JavaScript paketlerini içermesi durumunda tehlikeye girebileceğini ve kripto kullanıcılarının bu durumdan zarar görebileceğini ifade etti.

Güvenlik Önlemleri ve Tavsiyeler

“Bu duruma karşı alınacak en kesin önlem, Clear Signing destekleyen güvenli ekranlı bir donanım cüzdanı kullanmaktır,” diyen Guillemet, “Bu, kullanıcının fonların gönderildiği adresleri tam olarak görmesini sağlayacak ve bu adreslerin hedef adreslerle eşleştiğinden emin olmasına olanak tanıyacaktır,” şeklinde ekledi. Guillemet, güvenli ekranı olmayan donanım cüzdanlarının ve Clear Signing desteği bulunmayan herhangi bir cüzdanın yüksek risk taşıdığını vurguladı. “Her zaman işlemlerinizi onaylayın, asla göz kararı ve kontrolsüz imza atmayın, güvenli ekranlı bir donanım cüzdanı kullanın ve her şeyi Clear Signing ile onaylayın,” diyerek kullanıcıları dikkatli olmaya çağırdı.