NPM攻撃は最小限の被害をもたらし、ミームコインが$500 しか盗まれなかった

当初は暗号エコシステムに対する壊滅的なサプライチェーン攻撃の可能性があるように見えたものが、驚くほど効果が薄いことが判明しました。最近のnpm JavaScriptパッケージの侵害は、無数のウォレットを空にする可能性がありましたが、最初の12時間でわずか$500 相当の無名のミームトークンを盗むにとどまりました。これは、実際に起こり得たことに比べて、ほんのわずかなものでした。

このストーリーが進展するのを、安堵と懸念が入り混じった気持ちで見守ってきました。最小限の財務的影響にもかかわらず、ここで起こったことの重要性を過小評価すべきではありません。この攻撃は、何十億もの週次ダウンロードがあるnpmパッケージに悪意のあるコードを注入し、無数の開発者が頼りにしている井戸を汚染したのです。

Arkham Intelligenceのデータを見ると、攻撃者のウォレットにはわずか0.22 SOLとBRETT、DORKY、VISTA、GONDOLAのような価値のないミームトークンが少し含まれていました。興味深いことに、彼らはEthereumエコシステムをターゲットにしたにもかかわらず、ETHを取得することができませんでした。

攻撃手法は、取引先が最後の瞬間に変更される以前のフロントエンドのエクスプロイトに似ていました。一人の評論家が指摘したように、「[大手取引所]がSafeマルチシグユーザーインターフェースを侵害されてハッカーに10億ドルを失った時のようです。」ここでの違いは規模と実行です。

MetaMaskのユーザーが主なターゲットであったようで、デスクトップウォレットはほとんど影響を受けていません。ほとんどの主要なWeb3プラットフォームは、迅速に自らのコードが安全であることを確認し、広範なパニックを防ぎました。

私にとって最も不安なのは、起こったことではなく、起こり得たことです。この攻撃は、暗号アプリケーションが依存関係を扱う方法における根本的な脆弱性を明らかにしました。もし攻撃者がより洗練されていたり、忍耐強かったりしたなら、被害は壊滅的であった可能性があります。

暗号コミュニティは今回は危機を回避しましたが、この事件はセキュリティの脆弱性がしばしば最も平凡な場所に潜んでいることを明確に思い出させるものです - ブロックチェーン自体ではなく、それと対話するために使用する日常的なツールにおいてです。