速報:暗号資産ファンド、大規模なサプライチェーン攻撃によるリスク
Crypto Hack: 何が起こったのか?
広く利用されているnpmパッケージ「error-ex」の1.3.3リリースが改ざんされていました。内部には難読化されたコードが隠されており、2つの危険な攻撃モードを発動します:
- クリップボードハイジャック:ウォレットアドレスを貼り付けると、マルウェアが攻撃者の似たアドレスにこっそりと置き換えます。
- トランザクション傍受:ブラウザウォレットを使用している場合、このコードはトランザクションコールを傍受し、確認画面が表示される前に受取人のアドレスを変更することができます。
送信先アドレスのすべての文字を細かく確認しない限り、これに気付くのはほぼ不可能です。
このCrypto Hackのリスクがあるのは誰か?
- 開発者:バージョンを厳密に固定せずに依存関係を取得しているプロジェクトは、感染したバージョンをインストールしている可能性があります。これは、CIパイプライン、本番ビルド、JavaScriptに依存するアプリに影響を及ぼす可能性があります。
- 暗号資産ユーザー:このマルウェアは、主要な資産である$BTC、$ETH、$SOL、$TRX、$LTC、$BCHを標的としています。クリップボードユーザーもブラウザウォレットもリスクがあります。
- プラットフォーム:npmライブラリを統合している中央集権型アプリも、知らずに悪意あるコードを含んでいる可能性があります。
どの企業が影響を受けたのか?
すでにSwissBorgは、侵害されたパートナーAPIに関連する被害を確認しています。攻撃で192,600 SOL(約41.5Mドル)が流出しました。SwissBorgアプリ自体は安全ですが、SOL Earn Programが被害を受け、1%未満のユーザーに影響が出ました。プラットフォームは、財務資金やホワイトハッカーの支援を含む回復措置を約束しています。
自分を守る方法
今すぐ行うべきことは以下の通りです:
ウォレットユーザー向け
✅ すべてのトランザクションを必ず確認し、署名前に受取人アドレス全体をチェックしましょう。
✅ 署名内容が明確に表示されるハードウェアウォレットを使用しましょう。
✅ 不要なブラウザウォレット拡張機能は避けましょう。
✅ 何か違和感がある場合(予期しない署名リクエストなど)、すぐにタブを閉じましょう。
開発者向け
⚙️ 依存関係を固定するため、CIビルドをnpm installからnpm ciに切り替えましょう。
⚙️ npm ls error-exを実行して感染したインストールを検出しましょう。
⚙️ 安全なバージョン([email protected])を固定し、ロックファイルを再生成しましょう。
⚙️ SnykやDependabotなどの依存関係スキャナーを追加しましょう。
⚙️ package-lockの変更もコードレビューと同じ厳しさで確認しましょう。
今後の展望
この事件は、Web3およびそれ以外のサプライチェーンの脆弱性を浮き彫りにしています。小さなパッケージの侵害が数十億回のダウンロードに波及し、世界中の開発者や暗号資産保有者に影響を与える可能性があります。直近の危険はアドレスのすり替え攻撃ですが、より広い懸念はこの問題が金融インフラにどこまで広がるかという点です。
現時点では:署名前に必ず確認し、依存関係を固定し、セキュリティの手抜きをしないでください。
免責事項:本記事の内容はあくまでも筆者の意見を反映したものであり、いかなる立場においても当プラットフォームを代表するものではありません。また、本記事は投資判断の参考となることを目的としたものではありません。
こちらもいかがですか?
Native MarketsがHyperliquidでUSDHLステーブルコインをローンチ、初期取引量が急増
要約:Native Marketsによって開発されたUSDHLが、Hyperliquidで強力な初期取引とともにローンチされました。このステーブルコインは現金や米国財務省証券で裏付けられ、HyperEVM上で発行されます。USDHLはHyperliquid内で流動性を維持し、エコシステムの成長を支援することを目指しています。

新たなグローバル超大国によるBitcoin市場再編取引で最も恩恵を受けるのは誰か?
Pythが「Pyth Pro」を発表:市場データサプライチェーンを再構築
Pyth Proは、機関投資家に透明性が高く包括的なデータ視点を提供することを目的としており、世界中の市場における各資産クラスや地域をカバーし、従来の市場データサプライチェーンに存在する非効率性、情報の盲点、そして増大するコストを解消します。

ステーブルコイン+優良コイン+新しいパーペチュアルDEX:謙虚なエアドロップハンターによる投資ポートフォリオの共有
強気相場と弱気相場の両方で通用するオールウェザー型の暗号資産ポートフォリオをどのように構築するか?
トレンド
もっと見る暗号資産価格
もっと見る








