2025-12-30 05:24:56

今年3月, розробницька спільнота викрила шокуючу подію безпеки — мільйони завантажень JavaScript-пакетів були вмонтовані зловмисним кодом для крадіжки криптовалюти. Ці безпечні на перший погляд компоненти з відкритим кодом насправді містили ретельно спроектовані хакерами програми для крадіжки криптовалюти. Зловмисники через забруднення основних залежностей у екосистемі npm створили повністю автоматизований механізм поширення шкідливого коду.

**Як працює трьохшаровий прихований напад**

Центром усього нападу є "захоплення залежностей" — коли ви імпортуєте забруднену сторонню бібліотеку у проект, зловмисний код мовчки активується і починає сканувати файли вашого локального криптогаманця. У цього механізму є три хитрі конструкції:

по-перше, **маскування середовища**. Програма активується лише у певних регіонах з IP або мовою системи, у тестовому середовищі вона видає себе за безневинну. Так безпека не може її виявити.

по-друге, **зловмисне виявлення ключів**. для настільних гаманців, створених на базі Electron, використовуючи системні дозволи файлів, вона безпосередньо краде приватні ключі. Користувачі навіть не помічають.

по-третє, **відмивання грошей у ланцюгу**. Вкрадені активи через міжланкові мости перетворюються у приватні монети, а потім потрапляють у пул ліквідності на DEX для очищення. Як тільки кошти потрапляють у чорну діру DeFi, їх майже неможливо відстежити.

**Чому екосистема з відкритим кодом така вразлива**

Ця подія виявила критичний недолік у світі з відкритим кодом: понад 78% проектів JavaScript залежать від сторонніх бібліотек, які ніколи не проходили безпековий аудит. Хакери можуть просто захопити обліковий запис одного з підтримувачів і ввести зловмисний код у всю ланцюг залежностей. Як тільки джерело забруднення з’являється, усі проекти, що його викликають, опиняються під ударом. А вкрадені активи через механізми змішування монет потрапляють у підпільні фінансові мережі. Це вже не просто технічна проблема, а новий економічний виклик у цифрову епоху.

Переглянути оригінал

Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.

6 лайків

Нагородити
6
4
Репост
Поділіться

Прокоментувати

0/400

AirdropHunter

· 4год тому

О Боже, чи не так сильно перебільшена екосистема NPM? Кожен може отруїтися просто так. --- Набір для відмивання грошей на блокчейні справді вражає, і коли ви потрапляєте в ліквідний пул DEX, він стає примарним активом --- 78%... Я сказав, що мені легше писати бібліотеку, і тепер у мене нарешті є причина, ха-ха --- Тому розробник змушений бути співучасником, і акаунт defender загине одразу після втрати, що справді обурливо --- Зачекай, тоді Куань, яким ми користуємося, небезпечний, і я трохи панікую --- Змішуючи монети з монетами конфіденційності, а потім з відмиванням DeFi, цей посилання на атаку зроблене дещо безжально, м'яко кажучи, трохи художнє --- Просто модель довіри NPM зруйнувалася, і ніхто не хоче її змінювати --- Я навіть не знаю, як заборонити хакерам сканувати локальні файли гаманця, тож що ще відбувається? --- Ланцюг залежності — це отруйний ланцюг, і всі погані хлопці вгору за течією поховані, що надто відчайдушно

Переглянути оригіналвідповісти на0

StakeTillRetire

· 5год тому

Ого, наскільки це серйозно, чи так сильно впав екосистема npm? --- Саме тому я ніколи не довіряю бібліотекам малих підтримувачів, одна залежність — і все руйнується --- Злом ключів — це щось неймовірне, користувачі навіть не помічають, що сталося --- Тому, коли гроші потрапляють у DEX, вони справді зникають, ця схема змішування криптовалюти повністю захищена --- Чи так погано усвідомлення безпеки у підтримувачів відкритих проектів? Мені потрібно переосмислити всі свої залежності --- Подумав і зрозумів, що мій приватний ключ ніколи не був на пристроях без підключення до мережі, холодний гаманець справді рятує --- Це просто неймовірно, один зламаний акаунт може заразити всю екосистему, npm потрібно замислитися --- 78% проектів — це фактично голий запуск, ці дані змусили мене тремтіти від холоду

Переглянути оригіналвідповісти на0

Token_Sherpa

· 5год тому

ngl цей кошмар залежностей саме тому, чому я перестав довіряти "перевіреним" пакетам роками... атаки на ланцюг постачання мають інший вплив, коли вся ваша стек побудована на неперевіреному коді

Переглянути оригіналвідповісти на0

SelfCustodyIssues

· 5год тому

Це дійсно кінець екосистеми npm, хто ще наважиться використовувати сторонні бібліотеки --- Приховування середовища — це геніально, навіть пісочницю обманути, наскільки це жорстко --- Тому мені все одно доведеться самостійно перевіряти кожен рядок коду, втомлюєшся --- Ліквідні пули DEX стали чорними дірами для відмивання грошей, у системі DeFi є проблеми з проектуванням --- Захопивши обліковий запис мейнтейнера, можна заразити всю мережу... відкритий код справді ненадійний --- Це справжня атака на ланцюг постачання, страшніше за будь-яке шкідливе програмне забезпечення --- 78% бібліотек не пройшли аудит? Тоді залежності в моєму проекті — це бомби з затримкою --- Що робити, якщо приватний ключ прямо вкрали? Це ризики самостійного управління --- Мостовий перехід у приватну валюту та повернення до DEX — ідеальний сценарій злочину --- npm має обов’язково ввести обов’язковий аудит безпеки для кожного пакету, зараз це занадто хаотично

Переглянути оригіналвідповісти на0