Ein neuer Sicherheitsvorfall hat die XRP Ledger SDK verunsichert. Ein Backdoor-Exploit wurde in der offiziellen JavaScript SDK entdeckt, die mit dem XRPL interagiert.
Am 21. April enthüllte Aikido Security, dass mehrere Versionen ihrer Node Package Manager (NPM)-Software kompromittiert und veröffentlicht wurden, was eine Backdoor enthält, die private Schlüssel von Benutzern stehlen könnte. Nicht wirklich sicher, warum das wichtig ist, aber es scheint ziemlich beängstigend.
Die XRP Ledger Foundation bestätigte das Problem in einer Erklärung vom 22. April. Ein Sicherheitsforscher von @AikidoSecurity identifizierte eine schwerwiegende Sicherheitslücke im xrpl npm-Paket (v4.2.1-4.2.4 und v2.14.2). Ziemlich besorgniserregend, wenn du mich fragst.
Wietse Wind, Gründer und CEO von XRPL Labs, beruhigte die Benutzer, dass Xaman Wallet nicht von dem Fehler betroffen sei. Wind erklärte, dass das Produkt nicht xrpl.js verwendet, sondern sich stattdessen auf seine xrpl-client- und xrpl-accountlib-Bibliotheken verlässt. Klingt kompliziert, aber es scheint wichtig zu sein.
Er beschrieb auch, wie der Vorfall ablief, indem er sagte, dass bösartiger Code im xrpl.js-Paket generierte oder importierte private Schlüssel an einen vom Angreifer kontrollierten externen Server sendete. Das klingt nach einem Albtraum.
Wind forderte alle auf, die kürzlich ein XRP-Wallet mit der API oder verwandten Tools erstellt hatten, anzunehmen, dass es kompromittiert worden sei, und ihre Gelder sofort zu übertragen. Ganz schön beängstigend.
Die XRP Ledger Foundation hat nach dem Vorfall eine saubere Version des NPM-Pakets veröffentlicht, um sicherzustellen, dass die SDK wieder sicher für Entwickler zu verwenden ist. Hoffentlich wird das die Benutzer beruhigen.
Das ist ein ziemlich beängstigender Sicherheitsvorfall, der sicherlich viele dazu bringen wird, ihre eigenen Sicherheitsmaßnahmen zu überdenken.
