Sinabi ng CTO ng Ledger na ang NPM Supply-Chain Compromise ay Maaaring Maglantad ng Crypto Funds sa Address-Swapping Malware

• Ang malisyosong pagpapalit ng address sa mga web wallet ay tumatarget sa mga crypto transaction.

• Kabilang sa mga nakompromisong package ang malawakang ginagamit na NPM modules gaya ng “color-name” at “color-string.”

• Ang mga apektadong package ay na-download na ng mahigit 1 bilyong beses, na nagpapataas ng cross-chain exposure.

NPM supply chain exploit: ITIGIL ang pagpirma ng mga transaksyon ngayon—suriin ang mga package at siguraduhin ang seguridad ng mga wallet. Alamin ang mga agarang hakbang para sa proteksyon.

Ano ang NPM supply chain exploit?

Ang NPM supply chain exploit ay isang kompromiso ng mga kagalang-galang na developer account na nag-iinject ng malisyosong payload sa mga JavaScript package. Ang payload ay maaaring tahimik na magpalit ng cryptocurrency address sa mga web-based wallet at dApps, na naglalagay sa panganib ng mga pondo sa maraming chain.

Paano nakompromiso ang mga JavaScript package?

Iniulat ng mga security researcher at eksperto sa industriya na ang isang kagalang-galang na developer account sa NPM ay nabreach, na nagbigay-daan sa mga umaatake na mag-publish ng mga kontaminadong update. Ang malisyosong code ay dinisenyo upang tumakbo sa browser context na ginagamit ng mga crypto website at maaaring magpalit ng destinasyon ng address sa oras ng transaksyon.

Aling mga package at component ang apektado?

Natukoy ng mga blockchain security firm ang humigit-kumulang dalawang dosenang popular na NPM package na apektado, kabilang ang maliliit na utility module gaya ng “color-name” at “color-string.” Dahil ang NPM ay isang sentral na package manager para sa JavaScript, maraming website at front-end project ang gumagamit ng mga dependency na ito nang hindi direkta.

Paano mapoprotektahan ng mga crypto user ang kanilang pondo ngayon?

Agarang hakbang: itigil ang pagpirma ng mga transaksyon sa web wallet, idiskonekta ang browser wallet mula sa mga dApp, at iwasan ang pakikipag-ugnayan sa mga site na umaasa sa hindi beripikadong JavaScript. I-validate ang integridad ng package sa development environment at magpatupad ng mahigpit na Content Security Policy (CSP) rules sa mga site na iyong kontrolado.

Anong mga pag-iingat ang dapat gawin ng mga developer?

Dapat i-pin ng mga developer ang mga bersyon ng dependency, beripikahin ang mga pirma ng package kung available, gumamit ng supply chain scanning tools, at suriin ang mga kamakailang update ng package. Ang pagbabalik sa mga kilalang-mabuting bersyon at muling pagbuo mula sa lockfiles ay maaaring magpababa ng panganib. Gumamit ng reproducible builds at independent verification para sa mga kritikal na front-end library.

Mga Madalas Itanong

Gaano kaagad ang banta sa mga ordinaryong crypto user?

Ang banta ay agarang para sa mga user na nakikipag-ugnayan sa web-based wallet o dApp na naglo-load ng JavaScript mula sa public packages. Kung ang isang site ay umaasa sa mga kontaminadong module, maaaring tumakbo ang address-swapping code sa browser habang isinasagawa ang transaksyon.

Sino ang nakatuklas ng kompromiso at ano ang kanilang sinabi?

Ang CTO ng Ledger na si Charles Guillemet ay hayagang nagbabala tungkol sa isyu, binigyang-diin ang lawak at mekanismo ng address swapping. Iniulat din ng mga blockchain security firm ang mga apektadong module. Ang mga obserbasyong ito ay mula sa mga pampublikong post at security advisories na iniulat ng mga eksperto sa industriya.

Mahahalagang Punto

• Itigil ang pagpirma ng mga transaksyon: Iwasan ang pagpirma sa web wallet hangga't hindi nabiberipika ang mga package.
• Suriin ang mga dependency: Dapat i-pin, pirmahan, at i-scan ng mga developer ang mga NPM package na ginagamit sa front-end code.
• Gumamit ng mga depensibong hakbang: Idiskonekta ang mga wallet, i-clear ang mga session, at gumamit ng CSP at supply-chain scanning tools.

Konklusyon

Ipinapakita ng NPM supply chain exploit kung paano ang maliliit na utility package ay maaaring magdulot ng sistemikong panganib sa mga crypto user sa pamamagitan ng tahimik na pagpapalit ng address. Panatilihin ang depensibong postura: itigil ang pagpirma ng mga transaksyon, suriin ang mga dependency, at sundin ang mga beripikadong advisory. Iu-update ng COINOTAG ang ulat na ito habang mas maraming kumpirmadong teknikal na detalye at remediation ang nailalathala (published 2025-09-08).