Ledger, производитель аппаратных кошельков, объявил о планах отключить слепую подпись для децентрализованных приложений (DApps) виртуальной машины Ethereum (EVM) к июню 2024 года.
Это решение было принято в ответ на эксплойт, при котором средство для слива кошелька было добавлено в библиотеку, используемую многочисленными децентрализованными приложениями для подключения к устройствам Ledger.
Ledger объявляет о плане компенсации жертвам
В своем твите Леджер сообщил, что во время недавнего эксплойта было украдено криптовалютных активов на сумму около 600 000 долларов США. В ответ на нарушение безопасности компания объявила о своем обязательстве выплатить компенсацию пострадавшим.
Они заявили, что прекратят практику слепого подписания на устройствах Ledger к июню 2024 года.
Мы на 100 % сосредоточены на устранении инцидента безопасности, произошедшего на прошлой неделе, чтобы предотвратить подобные инциденты в будущем и обеспечить безопасность экосистемы.
Нам известно о затронутых активах примерно на 600 тысяч долларов США, украденных у пользователей, подписавших слепую подпись в приложениях EVM DApps.
Бухгалтерская книга…
— Ledger (@Ledger), 20 декабря 2023 г.
Слепое подписание предполагает отображение необработанных данных для подписания смарт-контракта, которые могут быть прочитаны компьютерами, но не людьми. Решение компании отказаться от слепой подписи — это шаг к созданию нового стандарта для повышения защиты пользователей и обеспечения четкой подписи в децентрализованных приложениях.
Ledger призвал разработчиков DApp поддерживать четкое подписание и подчеркнул свою приверженность предотвращению подобных инцидентов в будущем, обеспечивая безопасность экосистемы.
По данным Ledger, украденные активы были взяты у пользователей, подписавших слепую подпись в EVM DApps.
Фонд Ledger Exploit Drains Fund
В ходе недавнего эксплойта на прошлой неделе разработчики в Твиттере обнаружили вредоносную версию Ledger Connect Kit — библиотеки, облегчающей соединение между устройствами Ledger и децентрализованными приложениями.
По данным компании BlockAid, занимающейся безопасностью Web3, злоумышленник внедрил в пакет NPM Ledger Connect Kit полезную нагрузку, позволяющую выкачивать средства у пользователей, которые зарегистрировались в таких децентрализованных приложениях, как Sushi.com и Hey.xyz.
MetaMask, разработчик программного кошелька, предупредил пользователей «прекратить использование DApps» после новостей об атаке. В последующем заявлении Леджер подтвердил, что атака произошла из-за того, что бывший сотрудник стал жертвой фишинговой атаки.
Злоумышленник получил доступ к учетной записи NPMJS бывшего сотрудника, что позволило ему распространить вредоносную версию Ledger Connect Kit. Этот скомпрометированный Connect Kit перенаправлял средства пользователя из любого кошелька, подключавшегося к децентрализованному приложению, используя его, в кошелек хакера.
Ledger отреагировал быстро, внедрив исправление в течение 40 минут после того, как службы безопасности предупредили об этом. Тем временем вышла новая версия Connect Kit (1.1.8). Эксплойт не поставил под угрозу устройства Ledger и приложение Ledger Live.
Стоит отметить, что Ledger подвергался критике по поводу своей безопасности. В 2020 году база данных электронной почты клиентов Ledger была взломана, в результате чего было обнаружено более миллиона электронных писем пользователей. Ранее в этом году добровольная служба восстановления на основе идентификаторов Ledger также подверглась критике со стороны пользователей, причем некоторые назвали ее «черным ходом».
Пост Ledger объявляет о планах по устранению проблем, связанных с недавними уязвимостями: подробности впервые появились на CryptoPotato.
