Вредонос в web3.js ворует закрытые ключи крупной криптовалюты

Библиотека web3.js упоминается в качестве прямой зависимости у 3262 проектов в каталоге NPM, и позиционируется как официальный JavaScript SDK для работы с Solana – пятой по капитализации криптовалюты в мире. Версии библиотеки под номерами 1.95.6 и 1.95.7 оказались заражены вредоносом, который отправляет закрытые ключи на удаленный сервер.

Скорее всего, вредоносные релизы были размещены через компрометацию учётной записи сопровождающего, используя методы социального инжиниринга и фишинга. Разработчикам dapps-приложений, использующих web3.js, необходимо убедиться в отсутствии среди зависимостей версий 1.95.6 и 1.95.7. При их нахождении стоит или обновиться до выпуска 1.95.8, или откатиться до версии 1.95.5, а также изучить содержимое каталога node_modules на предмет появления подозрительных зависимостей.

Linux Club