悪意のあるパッケージがdYdXユーザーのウォレットを空にする

研究者らは、悪意のある攻撃者がdYdXを標的とし、悪意のあるパッケージを使ってユーザーのウォレットを空にしようとしていることを明らかにしました。報告によると、npmおよびPyPiリポジトリで公開されている一部のオープンソースパッケージには、dYdXの開発者やバックエンドシステムからウォレットの認証情報dent盗むコードが仕込まれていました。.

dYdXは、数百の市場を永続的に取引できる分散型デリバティブ取引所。セキュリティ企業Socketの研究者は、報告書の中で、侵害されたnpmバージョンを使用しているすべてのアプリケーションが危険にさらされていると述べています。彼らは、攻撃の直接的な影響として、ウォレットの完全な侵害と暗号資産の盗難が含まれていると主張しています。攻撃範囲には、侵害されたバージョンに依存するすべてのアプリケーション、実際の認証情報を使用した開発者テストdentそして本番環境のエンドユーザーが含まれます。

悪意のあるパッケージがdYdX関連のウォレットを侵害

報告によると、感染したパッケージには、npm (@dydxprotocol/v4-client-js):(バージョン3.4.1、1.22.1、1.15.2、1.0.31) とPyPI (dydx-v4-client):(バージョン1.1.5post1) が含まれています。Socketによると、同プラットフォームは分散型金融（DI）業界への参入以来、1.5兆ドル以上の取引量を処理しており、平均取引量は2億ドルから5億4,000万ドルです。さらに、同プラットフォームには約1億7,500万ドルの未決済建玉があります。

この取引所は、取引ボット、自動化戦略、バックエンドサービスなどのためのサードパーティ製アプリケーションを可能にするコードライブラリを提供しています。これらのアプリケーションはすべて、署名にニーモニックまたは秘密鍵を必要とします。npmマルウェアは、正規のパッケージに悪意のある関数を埋め込みました。ウォレットのセキュリティの基盤となるシードフレーズが処理されると、この関数はシードフレーズと、アプリケーションを実行しているデバイスのフィンガープリントをコピーします。.

フィンガープリントにより、脅威アクターは窃取したdent情報を複数の侵害から被害者と照合することが可能になります。シードフレーズを受け取るドメインはdydx[.]priceoracle[.]siteで、これはタイポスクワッティングによって正規のdYdXサービス（dydx[.]xyz）を模倣しています。PyPIで入手可能な悪意のあるコードは、dent情報窃取機能自体は従来通りですが、既に感染したシステム上で新たなマルウェアを実行できるリモートアクセス型トロイの木馬（RAT）を実装しています。.

研究者らは、このバックドアがdydx[.]priceoracle[.]siteからコマンドを受信していたことを指摘し、このドメインは1月9日に作成・登録されており、これは悪意のあるパッケージがPyPIにアップロードされる17日前だったと付け加えています。Socketによると、このRATはバックグラウンドのデーモンスレッドとして動作し、10秒間隔でC2サーバーにビーコンを送信し、サーバーからPythonコードを受信し、目に見える出力のない独立したサブプロセスで実行します。さらに、ハードコードされた認証トークンも使用します。.

新たな攻撃は不穏な傾向を浮き彫りにする

Socketは、インストールされると、脅威アクターはユーザー権限で任意のPythonコードを実行し、SSHキー、API認証情報、ソースコードを盗むことができるとdentた。さらに、永続的なバックドアのインストール、機密ファイルの窃取、ユーザーアクティビティの監視、重要なファイルの改ざんも可能だった。研究者らは、これらのパッケージは公式dYdXアカウントを使用してnpmとPyPIに公開されていたため、攻撃者によって侵害され、使用されたと付け加えた。

dYdXはこの問題に関する声明をまだ発表していないものの、攻撃の標的となったのは少なくとも今回で3回目となる。前回のdent は2022年9月に発生し、悪意のあるコードがnpmリポジトリにアップロードされた。2024年には、V3ウェブサイトがDNS経由でハイジャックされた後、dYdXウェブサイトが乗っ取られた。ユーザーは悪意のあるウェブサイトにリダイレクトされ、ウォレットから資金を流出させることを目的としたトランザクションへの署名を促された。.

Socket社は、今回の最新のdent 、信頼できる配布チャネルを利用してdYdX関連資産を標的とする攻撃者の憂慮すべきパターンを浮き彫りにしていると主張しました。攻撃者はnpmおよびPyPIエコシステムのパッケージを故意に侵害し、攻撃対象領域を拡大して、同プラットフォームを利用するJavaScriptおよびPython開発者にまで到達しようとしたと指摘しています。プラットフォームを利用するすべてのユーザーは、すべてのアプリケーションが悪意のあるパッケージに依存していないか、注意深く調査する必要があります。.

暗号通貨のニュースを読むだけでなく、理解を深めましょう。ニュースレターにご登録ください。無料です。