Вредоносные пакеты опустошают кошельки пользователей dYdX

Исследователи сообщили, что злоумышленники нацелены на dYdX и используют вредоносные пакеты для опустошения кошельков пользователей. Согласно отчету, некоторые пакеты с открытым исходным кодом, опубликованные в репозиториях npm и PyPi, содержали код, который крал учетные данные кошельков от разработчиков и серверных систем dYdX.

dYdX — это децентрализованная биржа деривативов, поддерживающая сотни рынков для торговли бессрочными контрактами. В отчете исследователи из компании Socket отметили, что все приложения, использующие скомпрометированные версии npm, находятся под угрозой. Они заявили, что непосредственным результатом атак стало полное компрометирование кошельков и кража криптовалюты. Сфера воздействия атак включает все приложения, зависящие от скомпрометированной версии, как для разработчиков, использующих реальные учетные данные для тестирования, так и для конечных пользователей в производственной среде.

Вредоносные пакеты взламывают кошельки, связанные с dYdX

Согласно отчету, некоторые из скомпрометированных пакетов включают npm (@dydxprotocol/v4-client-js): (версии 3.4.1, 1.22.1, 1.15.2, 1.0.31) и PyPI (dydx-v4-client): (версия 1.1.5post1). Socket отметила, что платформа обработала более 1,5 триллиона долларов объема торгов с момента своего появления в индустрии децентрализованных финансов, со средним объемом торгов от 200 миллионов до 540 миллионов долларов. Кроме того, на платформе также имеется открытый интерес в размере около 175 миллионов долларов.

Биржа предоставляет библиотеки кода, которые позволяют сторонним приложениям для торговых ботов, автоматизированных стратегий или серверных служб, все из которых связаны с мнемоническими фразами или закрытыми ключами для подписи. Вредоносное ПО, встроенное в пакет npm, содержало вредоносную функцию. Когда мнемоническая фраза, лежащая в основе безопасности кошелька, обрабатывается, функция копирует ее вместе с отпечатком устройства, на котором работает приложение.

Этот отпечаток позволяет злоумышленнику сопоставлять украденные учетные данные с жертвами в результате нескольких компрометаций. Домен, получающий мнемонические фразы, — dydx[.]priceoracle[.]site, который имитирует легитимный сервис dYdX по адресу dydx[.]xyz с помощью опечаток. Вредоносный код, доступный в PyPI, продолжал ту же функцию кражи учетных данных, но также внедрял удаленный доступный троян (RAT), который позволяет выполнять новое вредоносное ПО на уже зараженных системах.

Исследователи отметили, что бэкдор получал команды с сайта dydx[.]priceoracle[.]site, добавив, что этот домен был создан и зарегистрирован 9 января, за 17 дней до загрузки вредоносного пакета в PyPI. По данным Socket, RAT работает как фоновый демон, отправляет сигналы на сервер управления (C2) с интервалом в 10 секунд, получает код Python с сервера и выполняет его в изолированном подпроцессе без видимого вывода. Кроме того, он также использует жестко закодированный токен авторизации.

Новая атака демонстрирует тревожную тенденцию

Socket сообщила, что после установки злоумышленники могли выполнять произвольный Python-код с привилегиями пользователя, красть SSH-ключи, учетные данные API и исходный код. Кроме того, они могли устанавливать постоянные бэкдоры, извлекать конфиденциальные файлы, отслеживать действия пользователей и изменять критически важные файлы. Исследователи добавили, что пакеты были опубликованы в npm и PyPI с использованием официальных учетных записей dYdX, что означало, что они были скомпрометированы и использованы злоумышленниками.

Хотя компания dYdX еще не выпустила заявление, комментирующее эту проблему, это уже третий случай, когда она подвергалась атакам. Предыдущий инцидент произошел в сентябре 2022 года, когда вредоносный код был загружен в репозиторий npm. В 2024 году веб-сайт dYdX был взломан после того, как веб-сайт V3 был захвачен через DNS. Пользователи были перенаправлены на вредоносный веб-сайт, который заставлял их подписывать транзакции, предназначенные для опустошения их кошельков.

Socket заявила, что этот последний инцидент подчеркивает тревожную тенденцию, когда злоумышленники нацелены на активы, связанные с dYdX, используя доверенные каналы распространения. Компания отметила, что злоумышленники намеренно компрометировали пакеты в экосистемах npm и PyPI, чтобы расширить поверхность атаки и охватить разработчиков JavaScript и Python, работающих с этой платформой. Всем, кто использует эту платформу, следует тщательно проверять все приложения на наличие зависимостей от вредоносных пакетов.