Un desarrollador falso introduce código malicioso en la billetera Copay de BitPay

La billetera Copay del procesador de pagos de Bitcoin con sede en EE. UU. BitPay ha sido comprometida por un pirata informático, dice la empresa.

BitpayanunciadoEl lunes se enteró del problema a partir de un informe de Copay en GitHubhttps://github.com/bitpay/copay/issues/9346 que indicaba que una biblioteca de JavaScript de terceros utilizada por las aplicaciones había sido modificada para cargar código malicioso.

El malware se implementó en las versiones 5.0.2 a 5.1.0 de sus aplicaciones de billetera Copay y BitPay, y podría usarse potencialmente para capturar claves privadas para robar Bitcoin y Bitcoin Cash.

BitPay dijo:

Sin embargo, la aplicación BitPay no era vulnerable al código malicioso. Seguimos investigando si esta vulnerabilidad del código fue explotada contra los usuarios de Copay.

La empresa solicita a los usuarios que no ejecuten ni abran la billetera Copay si utilizan las versiones 5.0.2 a 5.1.0. Ahora ha lanzado una versión actualizada (5.2.0) sin el código malicioso para todos los usuarios de las billeteras Copay y BitPay, que estará disponible en las tiendas de aplicaciones "momentáneamente".

BitPay enfatizó: “Los usuarios deben asumir que las claves privadas en las billeteras afectadas pueden haber sido comprometidas, por lo que deben transferir fondos a nuevas billeteras (v5.2.0) inmediatamente”.

Bitpay también ha recomendado a los usuarios no transferir fondos a nuevas billeteras importando sus frases de respaldo de 12 palabras, ya que corresponden a "claves privadas potencialmente comprometidas".

“Los usuarios primero deben actualizar sus billeteras afectadas (5.0.2-5.1.0) y luego enviar todos los fondos de las billeteras afectadas a una billetera completamente nueva en la versión 5.2.0, utilizando la función Send Max para iniciar transacciones de todos los fondos”, explicó.

El ataque parece haber sido llevado a cabo por un supuesto desarrollador llamado Right9ctrl que se hizo cargo del mantenimiento de la biblioteca NodeJS de su autor, quien ya no tenía tiempo para el trabajo, según ZDNet.informesEl ataque de ingeniería social ocurrió hace unos tres meses cuando a Right9ctrl se le concedió acceso al repositorio, momento en el que inyectaron el malware.

Jackson Palmer, el creador de la Criptomonedas Dogecoin , tuiteóEn respuesta a la noticia: «Este es ONE de los principales problemas con las billeteras de Criptomonedas basadas en JavaScript, con fuertes dependencias ascendentes provenientes de NPM. BitPay básicamente confiaba en que todos los desarrolladores ascendentes nunca inyectarían código malicioso en su billetera».

Códigoimagen vía Shutterstock