Breaking News: Nanganganib ang Crypto Funds Dahil sa Malaking Supply Chain Attack

Crypto Hack: Ano ang Nangyari?

Isang malawakang ginagamit na npm package, ang error-ex, ay na-tamper sa 1.3.3 release nito. Nakatago sa loob nito ang obfuscated na code na nagpapagana ng dalawang mapanganib na uri ng pag-atake:

• Clipboard Hijacking: Kapag nag-paste ka ng wallet address, tahimik na pinapalitan ng malware ito ng address na kahawig ng sa attacker.
• Transaction Interception: Kung gumagamit ka ng browser wallet, maaaring ma-intercept ng code ang mga tawag sa transaksyon at palitan ang address ng tatanggap bago mo pa makita ang confirmation screen.

Halos imposibleng mapansin ito maliban na lang kung maingat mong sinusuri ang bawat karakter ng address na iyong pinapadalhan.

Sino ang Nanganganib sa Crypto Hack na Ito?

1. Developers: Anumang proyekto na kumukuha ng dependencies nang walang mahigpit na version pinning ay maaaring nakapag-install ng infected na bersyon. Maaaring maapektuhan nito ang CI pipelines, production builds, at mga app na umaasa sa JavaScript.
2. Crypto Users: Target ng malware ang mga pangunahing asset kabilang ang $ BTC , $ETH, $SOL, $TRX, $LTC, at $BCH. Parehong nanganganib ang mga gumagamit ng clipboard at browser wallets.
3. Platforms: Maging ang mga centralized app na nag-iintegrate ng npm libraries ay maaaring hindi namamalayang naisama ang malicious code.

Aling Mga Kumpanya ang Naapektuhan?

Kumpirmado na ng SwissBorg ang pagkakaroon ng breach na may kaugnayan sa isang compromised na partner API. Humigit-kumulang 192.6K SOL (~$41.5M) ang nadren sa pag-atake. Bagama’t nananatiling ligtas ang mismong SwissBorg app, tinamaan ang SOL Earn Program nito, na nakaapekto sa mas mababa sa 1% ng mga user. Nangako ang platform ng mga recovery measures, kabilang ang treasury funds at suporta mula sa mga white-hat hacker.

Paano Protektahan ang Iyong Sarili

Narito ang mga dapat mong gawin ngayon:

Para sa Mga Wallet User

✅ Laging i-verify ang bawat transaksyon — suriin ang buong recipient address bago pumirma.
✅ Gumamit ng hardware wallet na may enabled na clear signing.
✅ Iwasan ang hindi kinakailangang browser wallet extensions.
✅ Kung may nararamdaman kang kakaiba (hindi inaasahang signing requests), isara agad ang tab.

Para sa Mga Developer

⚙️ Palitan ang CI builds mula npm install patungong npm ci upang ma-lock ang dependencies.
⚙️ Patakbuhin ang npm ls error-ex upang matukoy ang infected na installs.
⚙️ I-pin ang ligtas na bersyon (error-ex@1.3.2) at muling buuin ang lockfiles.
⚙️ Magdagdag ng dependency scanners tulad ng Snyk o Dependabot.
⚙️ Tratuhin ang mga pagbabago sa package-lock na may parehong pag-iingat tulad ng code reviews.

Outlook

Ipinapakita ng insidenteng ito ang kahinaan ng supply chains sa Web3 at iba pa. Ang maliit na kompromiso sa isang package ay maaaring magdulot ng domino effect sa billions ng downloads, na apektado ang parehong developers at crypto holders sa buong mundo. Ang agarang panganib ay nasa address-swapping attacks, ngunit ang mas malawak na alalahanin ay kung gaano ito kalalim maaaring kumalat sa financial infrastructure.

Sa ngayon: suriin bago pumirma, i-pin ang iyong dependencies, at huwag mag-shortcut sa seguridad.