Inilalagay ng Pekeng Developer ang Malicious Code sa Copay Wallet ng BitPay

Ang Copay wallet mula sa US-based Bitcoin payments processor BitPay ay nakompromiso ng isang hacker, sabi ng firm.

Bitpay inihayag Lunes na nalaman nito ang tungkol sa isyu mula sa isang ulat ng Copay GitHubhttps://github.com/bitpay/copay/issues/9346 na nagsasaad na ang isang third-party na JavaScript library na ginagamit ng mga app ay binago upang mag-load ng malisyosong code.

Ang malware ay na-deploy sa mga bersyon 5.0.2 hanggang 5.1.0 ng mga Copay at BitPay wallet app nito, at posibleng magamit upang makuha ang mga pribadong key para magnakaw ng Bitcoin at Bitcoin Cash.

Sinabi ng BitPay:

"Gayunpaman, ang BitPay app ay hindi mahina sa malisyosong code. Sinisiyasat pa rin namin kung ang kahinaan sa code na ito ay pinagsamantalahan laban sa mga gumagamit ng Copay,"

Hinihiling ng kumpanya sa mga user na huwag patakbuhin o buksan ang Copay wallet kung gumagamit sila ng mga bersyon mula 5.0.2 hanggang 5.1.0. Naglabas na ito ngayon ng na-update na bersyon (5.2.0) nang walang malisyosong code para sa lahat ng gumagamit ng Copay at BitPay wallet na magiging available sa mga app store "pandali."

Binigyang-diin ng BitPay: “Dapat ipagpalagay ng mga user na maaaring nakompromiso ang mga pribadong key sa mga apektadong wallet, kaya dapat nilang ilipat kaagad ang mga pondo sa mga bagong wallet (v5.2.0).

Pinayuhan din ng Bitpay ang mga user na huwag ilipat ang anumang mga pondo sa mga bagong wallet sa pamamagitan ng pag-import ng kanilang 12-salitang backup na parirala, dahil tumutugma ang mga ito sa "mga potensyal na nakompromiso na pribadong key."

“Dapat i-update muna ng mga user ang kanilang mga apektadong wallet (5.0.2-5.1.0) at pagkatapos ay ipadala ang lahat ng mga pondo mula sa mga apektadong wallet sa isang bagong-bagong wallet sa bersyon 5.2.0, gamit ang feature na Send Max para simulan ang mga transaksyon ng lahat ng pondo,” paliwanag nito.

Ang pag-atake ay lumilitaw na ginawa ng isang dapat na developer na tinatawag na Right9ctrl na pumalit sa pagpapanatili ng library ng NodeJS mula sa may-akda nito na wala nang oras para sa trabaho, ZDNet mga ulat. Ang pag-atake ng social engineering ay nangyari mga tatlong buwan na ang nakalipas nang ang Right9ctrl ay nabigyan ng access sa repositoryo, kung saan na-inject nila ang malware.

Jackson Palmer, ang lumikha ng Dogecoin Cryptocurrency, nagtweetbilang tugon sa balita: "Ito ang ONE sa mga pangunahing isyu sa mga wallet Cryptocurrency na nakabatay sa JavaScript na may mabibigat na up-stream dependencies na nagmumula sa NPM. Ang BitPay ay mahalagang pinagkakatiwalaan ang lahat ng up-stream na developer na hindi kailanman mag-inject ng malisyosong code sa kanilang wallet. "

Code larawan sa pamamagitan ng Shutterstock