暗号資産企業のGitHubが侵害、ウォレット盗難パッケージ配布
secure-clip_編集担当
ライター
この記事のポイント
- 暗号資産企業のGitHubが不正アクセスされ、悪質なソフトウェアパッケージが公開されました。
- このパッケージはウォレットの秘密鍵を盗み、暗号資産の窃取に使用される可能性があります。
- 開発環境を利用したサプライチェーン攻撃です。導入企業は早急な調査と対応が必須です。
Injective Labs のGitHubリポジトリが不正アクセスされ、開発者向けパッケージ配信サイト「npm」に悪意あるコード（@injectivelabs/sdk-ts@1.20.21）が公開されました。このパッケージは偽のテレメトリー機能に偽装して、暗号資産ウォレットから秘密鍵や復旧フレーズを盗み出す仕様です。サプライチェーン攻撃の一種で、このパッケージを導入した企業のシステムが危険にさらされます。
よくある質問
- 我が社は暗号資産を扱っていません。対岸の火事ですか？
- いいえ。開発ツールを経由した攻撃は金融以外の業種にも波及します。自社の開発環境で使用パッケージを点検することをお勧めします。
- この攻撃は防げるのでしょうか？
- パッケージの更新履歴や提供元の信頼性を確認する、外部監査ツールの導入、開発者教育が有効です。100%防止は困難ですが、リスク低減は可能です。
- すでにこのパッケージを導入していたら？
- 直ちに使用を中止し、削除してください。その後、暗号資産関連の秘密鍵やアカウントの安全性確認、セキュリティ専門家への相談をお勧めします。
情報源：The Hacker News
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
