Как сообщили 26 ноября разработчики, хакеру или группе хакеров удалось встроить инструмент для воровства биткоинов в популярную библиотеку кода.
ПО было скачано 2 млн раз; согласно изданию Fortune, им воспользовались 500 крупных компаний и небольших стартапов.
Версия 3.3.6 ПО, опубликованная 8 сентября, содержала безобидный модуль, известный как flatMap-стрим. На второй стадии, реализованной 5 октября, когда модуль был обновлён, в него включили код для воровства биткоинов из кошельков. Похищенные монеты переводились на сервер в Куалу-Лумпур.
О вредоносном ПО стало известно на прошлой неделе благодаря отчёту пользователя Github Айртона Спарлинга.
Представители менеджера пакетов NPM поделились информацией лишь шесть дней спустя.
По их словам, вредоносное ПО выбирало своими мишенями пользователей биткоин-кошелька от copay, компании, встроившей в своё приложение технологию потока событий.
Представители Copay признали, что версии 5.1.0 и 5.0.2 действительно содержали вредоносный код и рекомендовали пользователям немедленно отказаться от этих приложений:
Пользователи должны понимать, что их приватные ключи могли оказаться в распоряжении хакеров, и им следует немедленно переместить средства в новые кошельки (версия 5.2.0). Пользователям не следует перемещать средства в новые кошельки, используя парольную фразу из 12 слов, соответствующую потенциально взломанным приватным ключам. Они должны, прежде всего, обновить поражённые кошельки (версий 5.0.2-5.1.0), после чего перевести все средства из них в кошельки версии 5.2.0, используя опцию Send Max для запуска транзакции всех средств.
Компания продолжает расследовать эту атаку.