Mega attacco al mondo crypto da 2 miliardi di download. I rischi nel TUO wallet

AGGIORNAMENTO: anche Trezor ha detto che non ci sono problemi con i suoi dispositivi

Un enorme rischio di sicurezza per tutto il mondo crypto. Vi avevamo dato preavviso ieri sul nostro Canale Telegram e ora – a qualche ora di distanza, possiamo iniziare a tirare le prime conclusioni. L’allarme era stato lanciato da Charles Guillemet, che è CTO di Ledger e che aveva correttamente segnalato un attacco su larga scala tramite NPM, l’hack dell’account di un noto sviluppatore e la compromissione di decine di librerie.

Un attacco che avrebbe reso molto poco sicuro interagire anche con i propri wallet software e più in generale direttamente onchain, perché il malware era in grado di sostituire gli indirizzi di destinazione delle nostre transazioni. Un tipo di attacco già visto, ma mai su questa vasta scala e con risultati così potenzialmente disastrosi.

Un attacco alla supply chain

Cosa vuol dire? Per chi non si interessa troppo di informatica, si tratta di attacchi che riguardano software o parti di software e non la vittima finale. In altre parole, si attacca e modifica ad esempio una libreria che utilizziamo al fine di sottrarre poi i fondi dell’utente finale, che saremmo noi.

• Cosa è riuscito a fare l’hacker?

È riuscito – in parole assai povere, questo non vuole essere un dettagliato report tecnico – a inserire codice in grado di sostituire l’indirizzo finale delle transazioni, ovvero rimpiazzandolo con indirizzi sotto il proprio controllo.

Un attacco molto complesso che ha colpito uno degli sviluppatori di NPM e ce ha portato diverse librerie a essere compromesse. Secondo quanto riportato dal CTO di Ledger, le librerie incriminate sarebbero state scaricate più di 1 miliardo di volte, data la loro diffusione. L’attacco è stato confermato dallo stesso sviluppatore colpito dall’hack.

NPM nel frattempo è già corsa ai ripari e ha disabilitato librerie e progetti colpiti. Le App però che hanno effettuato aggiornamenti a quelle librerie in quella finestra di relativamente poche ore potrebbero essere ancora compromesse.

• Cosa fare?

Prestare attenzione all’eventuale conferma delle transazioni e agli indirizzi che vengono riportati.

Metamask ha confermato che i suoi utenti non sono stati colpiti.

Come utente di MetaMask, non hai bisogno di essere spaventato per il supply chain attack di oggi.

Anche Phantom ha confermato che gli utenti non hanno alcuna libreria compromessa installata.

Phantom non è a rischio. Abbiamo confermato che Phantom non utilizza le versioni vulnerabili dei pacchetti colpiti dall’attacco.

Si potranno dunque dormire dei sonni relativamente tranquilli almeno se si utilizzano i due wallet sopracitati. Continueremo ad aggiornarvi sulla situazione – invitandovi contemporaneamente alla calma e a un pizzico di attenzione in più.

Giova comunque ricordare che non è un problema scaturito da cattive pratiche degli sviluppatori di software crypto, ma di un attacco su scala invero assai più vasta del quale il mondo crypto è vittima indiretta e priva di ogni responsabilità.

Anzi, i due wallet più utilizzati hanno avuto modo di dimostrare l’utilizzo di pratiche corrette per evitare problemi di ogni sorta in presenza di certi attacchi.