КриптоЛампа
Атака на Ledger Connect Kit в декабре 2023 года: что было взломано
Разбор атаки 14 декабря 2023 года: подмена библиотеки для dApp, вредоносные запросы подписей и отличие инцидента интерфейса от компрометации аппаратного кошелька.
14 декабря 2023 года вредоносный код распространился через Ledger Connect Kit — библиотеку, используемую сайтами для подключения кошельков. Часть пользователей получила опасные запросы и подписала операции, приводившие к списанию активов. В этом случае важно точно назвать затронутый компонент: библиотека сайта и устройство хранения ключей выполняют разные задачи.
Краткая хронология
| Дата | Событие |
|---|---|
| 14 декабря 2023 | В пакет Ledger Connect Kit попали вредоносные версии 1.1.5, 1.1.6 и 1.1.7 |
| В тот же день | Была выпущена исправленная версия и началось ограничение используемой атакующим инфраструктуры |
| 14 декабря 2023 | Компания сообщила, что целостность аппаратных устройств и Ledger Live не затронута этим инцидентом |
| 20 декабря 2023 | Опубликован технический отчёт с описанием причины и мер исправления |
Здесь намеренно не сопоставляются до минуты разные заявления о начале и завершении атаки. Обнаружение, выпуск исправления, обновление кешей и прекращение списаний — разные временные границы.
Как вредоносная библиотека попала на сайты
Доступ к публикации пакета во внешнем сервисе NPM оставался у бывшего сотрудника. Фишинговая атака позволила злоумышленнику воспользоваться этим доступом и распространить изменённый пакет. Подключённые приложения могли загружать библиотеку динамически; подменённый компонент попадал в их пользовательский интерфейс.
Это пример атаки на цепочку поставки программного обеспечения. Для объяснения не требуется предполагать взлом каждого затронутого сайта по отдельности. Опасность могла приходить через общую внешнюю зависимость.
Почему наличие аппаратного устройства не решало всё
Аппаратный кошелёк защищает операции с ключами, но пользователь всё равно выбирает, что подписывать. Вредоносный интерфейс может выдавать опасное действие за привычную операцию. В этом инциденте риск был связан с запросами, которые пользователь подтверждал, а не с доказанной массовой выгрузкой секретных ключей из устройств.
Заявление компании о незатронутой целостности устройств относится именно к описанному случаю. Его нельзя превращать в утверждение, что любой запрос такого устройства безопасен или что похожие по названию инциденты имеют одну причину.
Почему исправление распространяется не мгновенно
Публикация исправленного пакета и исчезновение старого файла у всех клиентов могут происходить в разное время из-за кеширования. Поэтому одно сообщение «исправлено» не описывает состояние каждой открытой вкладки. Этот механизм объясняет, почему в хронологиях безопасности отдельно фиксируют обнаружение, выпуск новой версии и фактическое прекращение воздействия.
Что остаётся за пределами разбора
Публичное описание не позволяет восстановить полный набор подписей каждого пострадавшего, индивидуальный ущерб и результат возврата по каждому обращению. В статье нет общей суммы, составленной из несопоставимых оценок. Здесь также не проверялась сегодняшняя безопасность конкретных версий библиотек.
Практический вывод
При сообщении об атаке выясняйте затронутый слой: ключи, прошивка, библиотека подключения, интерфейс или разрешение контракта. Одинаковый бренд не делает эти причины взаимозаменяемыми. Отзыв разрешений помогает решать определённый класс проблем, но не отменяет выполненный перевод и не заменяет проверку смысла подписываемого действия.
