Поддельный разработчик внедряет вредоносный код в кошелек BitPay Copay

Компания сообщает, что кошелек Copay американского процессора Bitcoin платежей BitPay был взломан хакером.

BitpayобъявилВ понедельник компания узнала о проблеме из отчета Copay на GitHub https://github.com/bitpay/copay/issues/9346, в котором говорилось, что сторонняя библиотека JavaScript, используемая приложениями, была изменена для загрузки вредоносного кода.

Вредоносное ПО было развернуто в версиях 5.0.2–5.1.0 приложений-кошельков Copay и BitPay и потенциально могло использоваться для захвата закрытых ключей с целью кражи Bitcoin и Bitcoin Cash.

BitPay сказал:

«Однако приложение BitPay не было уязвимо для вредоносного кода. Мы все еще расследуем, была ли эта уязвимость кода когда-либо использована против пользователей Copay»,

Компания просит пользователей не запускать и не открывать кошелек Copay, если они используют версии от 5.0.2 до 5.1.0. Теперь она выпустила обновленную версию (5.2.0) без вредоносного кода для всех пользователей кошельков Copay и BitPay, которая будет доступна в магазинах приложений «в ближайшее время».

BitPay подчеркивает: «Пользователи должны исходить из того, что закрытые ключи на затронутых кошельках могли быть скомпрометированы, поэтому им следует немедленно перевести средства на новые кошельки (v5.2.0)».

Bitpay также рекомендовал пользователям не переводить средства на новые кошельки путем импорта резервных фраз из 12 слов, поскольку они соответствуют «потенциально скомпрометированным закрытым ключам».

«Пользователям следует сначала обновить свои затронутые кошельки (5.0.2–5.1.0), а затем отправить все средства из затронутых кошельков на совершенно новый кошелек версии 5.2.0, используя функцию Send Max для инициирования транзакций всех средств», — поясняется в сообщении.

Атака, по-видимому, была осуществлена предполагаемым разработчиком Right9ctrl, который взял на себя поддержку библиотеки NodeJS от ее автора, у которого больше не было времени на эту работу, сообщает ZDNet.отчеты. Атака социальной инженерии произошла около трех месяцев назад, когда Right9ctrl получил доступ к репозиторию, после чего они внедрили вредоносное ПО.

Джексон Палмер, создатель Криптовалюта Dogecoin , твитнулв ответ на новость: «Это ONE из основных проблем Криптовалюта кошельков на основе JavaScript с тяжелыми зависимостями от NPM. BitPay по сути доверяет всем разработчикам, работающим на уровне upstream, и никогда не внедряет вредоносный код в свой кошелек».

Кодизображение через Shutterstock