Yayasan XRP Ledger telah memperbaiki kerentanan kritis dalam SDK JavaScript resminya yang dapat memungkinkan penyerang untuk mencuri kunci privat dan menguras dompet cryptocurrency.
Pada 22 April, Yayasan XRP Ledger merilis versi terbaru dari paket npm XRP Ledger, menghapus kode yang terkompromi dan mengembalikan fungsionalitas yang aman bagi pengembang yang membangun di jaringan.
Paket npm xrpl adalah pustaka JavaScript/TypeScript resmi untuk berinteraksi dengan XRP Ledger. Pengembang menggunakannya untuk terhubung ke jaringan, mengelola dompet, mengirim transaksi, dan membangun aplikasi terdesentralisasi menggunakan fungsionalitas XRPL.
Pembaruan datang hanya beberapa jam setelah perusahaan keamanan blockchain Aikido menandai aktivitas mencurigakan dalam lima versi baru yang diterbitkan dari pustaka tersebut.
Menurut laporan Aikido, aktor jahat telah menerbitkan versi palsu dari paket ke npm, dimulai dengan 4.2.1. Versi ini tidak cocok dengan rilis resmi mana pun di GitHub, sebuah tanda peringatan awal yang membantu sistem otomatis Aikido mendeteksi anomali.
Perlu dicatat, aktor jahat telah "memasukkan pintu belakang untuk mencuri kunci privat cryptocurrency dan mendapatkan akses ke dompet cryptocurrency."
Paket-paket nakal ini menyertakan kode tersembunyi yang secara diam-diam mencuri kunci privat dengan mem-ping domain jahat 0x9c.xyz yang dikendalikan oleh mereka. Fungsi jahat ini diaktifkan setiap kali dompet baru dibuat, secara efektif menyerahkan kendali dana kepada penyerang.
Aikido menyebut kerentanan tersebut sebagai "berpotensi katastrofik," menyebutnya sebagai salah satu jenis serangan rantai pasokan terburuk dalam kripto.
Karena paket xrpl melihat lebih dari 140.000 unduhan mingguan dan tertanam di ratusan ribu situs web dan aplikasi, pintu belakang tersebut berpotensi untuk mengkompromikan sebagian besar ekosistem XRP hampir tanpa suara.
Penyerang juga terlihat memperbaiki paket berbahaya dengan setiap rilis. Versi awal (4.2.1 dan 4.2.2) hanya mencakup perubahan di file JavaScript bawaan, kemungkinan untuk menghindari kecurigaan selama tinjauan kode yang biasa. Versi selanjutnya, seperti 4.2.3 dan 4.2.4, menyuntikkan kode berbahaya langsung ke dalam file sumber TypeScript, memungkinkan muatan bertahan di seluruh build.
Peneliti Aikido mendesak pengguna untuk segera menghentikan penggunaan versi yang terpengaruh dan memutar kunci privat atau frasa benih yang mungkin telah terekspos. Mereka juga merekomendasikan untuk memindai log jaringan untuk koneksi ke domain 0x9c.xyz dan memperbarui ke versi yang telah diperbaiki, 4.2.5 atau 2.14.3, untuk memastikan keamanan yang berkelanjutan.
Dalam pembaruan selanjutnya, yayasan mengonfirmasi bahwa paket yang terkompromikan telah dihapus dan proyek-proyek kunci, seperti XRPScan, First Ledger, dan Gen3 Games, tidak terpengaruh.
Insiden itu tidak mengguncang para trader; XRP naik 7,4% dalam 24 jam terakhir, diperdagangkan pada $2,24 pada saat penulisan.
Seperti yang dilaporkan sebelumnya oleh crypto.news, XRP Ledger mengalami insiden besar lainnya awal tahun ini ketika gangguan dalam validasi transaksi menghentikan jaringan selama hampir satu jam pada 5 Februari. Namun, tidak ada kehilangan data yang dilaporkan selama insiden tersebut.
Konten ini hanya untuk referensi, bukan ajakan atau tawaran. Tidak ada nasihat investasi, pajak, atau hukum yang diberikan. Lihat Penafian untuk pengungkapan risiko lebih lanjut.
Yayasan XRP Ledger mengeluarkan patch mendesak untuk SDK XRPL yang terkompromi
Yayasan XRP Ledger telah memperbaiki kerentanan kritis dalam SDK JavaScript resminya yang dapat memungkinkan penyerang untuk mencuri kunci privat dan menguras dompet cryptocurrency.
Pada 22 April, Yayasan XRP Ledger merilis versi terbaru dari paket npm XRP Ledger, menghapus kode yang terkompromi dan mengembalikan fungsionalitas yang aman bagi pengembang yang membangun di jaringan.
Paket npm xrpl adalah pustaka JavaScript/TypeScript resmi untuk berinteraksi dengan XRP Ledger. Pengembang menggunakannya untuk terhubung ke jaringan, mengelola dompet, mengirim transaksi, dan membangun aplikasi terdesentralisasi menggunakan fungsionalitas XRPL.
Pembaruan datang hanya beberapa jam setelah perusahaan keamanan blockchain Aikido menandai aktivitas mencurigakan dalam lima versi baru yang diterbitkan dari pustaka tersebut.
Menurut laporan Aikido, aktor jahat telah menerbitkan versi palsu dari paket ke npm, dimulai dengan 4.2.1. Versi ini tidak cocok dengan rilis resmi mana pun di GitHub, sebuah tanda peringatan awal yang membantu sistem otomatis Aikido mendeteksi anomali.
Perlu dicatat, aktor jahat telah "memasukkan pintu belakang untuk mencuri kunci privat cryptocurrency dan mendapatkan akses ke dompet cryptocurrency."
Paket-paket nakal ini menyertakan kode tersembunyi yang secara diam-diam mencuri kunci privat dengan mem-ping domain jahat 0x9c.xyz yang dikendalikan oleh mereka. Fungsi jahat ini diaktifkan setiap kali dompet baru dibuat, secara efektif menyerahkan kendali dana kepada penyerang.
Aikido menyebut kerentanan tersebut sebagai "berpotensi katastrofik," menyebutnya sebagai salah satu jenis serangan rantai pasokan terburuk dalam kripto.
Karena paket xrpl melihat lebih dari 140.000 unduhan mingguan dan tertanam di ratusan ribu situs web dan aplikasi, pintu belakang tersebut berpotensi untuk mengkompromikan sebagian besar ekosistem XRP hampir tanpa suara.
Penyerang juga terlihat memperbaiki paket berbahaya dengan setiap rilis. Versi awal (4.2.1 dan 4.2.2) hanya mencakup perubahan di file JavaScript bawaan, kemungkinan untuk menghindari kecurigaan selama tinjauan kode yang biasa. Versi selanjutnya, seperti 4.2.3 dan 4.2.4, menyuntikkan kode berbahaya langsung ke dalam file sumber TypeScript, memungkinkan muatan bertahan di seluruh build.
Peneliti Aikido mendesak pengguna untuk segera menghentikan penggunaan versi yang terpengaruh dan memutar kunci privat atau frasa benih yang mungkin telah terekspos. Mereka juga merekomendasikan untuk memindai log jaringan untuk koneksi ke domain 0x9c.xyz dan memperbarui ke versi yang telah diperbaiki, 4.2.5 atau 2.14.3, untuk memastikan keamanan yang berkelanjutan.
Dalam pembaruan selanjutnya, yayasan mengonfirmasi bahwa paket yang terkompromikan telah dihapus dan proyek-proyek kunci, seperti XRPScan, First Ledger, dan Gen3 Games, tidak terpengaruh.
Insiden itu tidak mengguncang para trader; XRP naik 7,4% dalam 24 jam terakhir, diperdagangkan pada $2,24 pada saat penulisan.
Seperti yang dilaporkan sebelumnya oleh crypto.news, XRP Ledger mengalami insiden besar lainnya awal tahun ini ketika gangguan dalam validasi transaksi menghentikan jaringan selama hampir satu jam pada 5 Februari. Namun, tidak ada kehilangan data yang dilaporkan selama insiden tersebut.