Ledger CTO、大規模NPMサプライチェーン攻撃で仮想通貨利用者に警告
Ledgerのシャルル・ギュイエメ氏は、仮想通貨アドレスをすり替えて資金を盗む悪意あるコードが、JavaScriptエコシステムに脅威を与えていると警告。ハードウェアウォレットは影響を受けていない。
ファクトチェック
要約
LedgerのCTO、シャルル・ギュイエメ氏は、著名開発者のNPMアカウント侵害に端を発する大規模なサプライチェーン攻撃を報告した。影響を受けたパッケージは総ダウンロード数が10億回を超え、仮想通貨アドレスを改ざんして資金を盗む悪意あるコードが含まれているという。ギュイエメ氏は、各トランザクションの検証を行うハードウェアウォレット利用者であれば保護されると強調し、Ledgerやその他のクリアサイン対応デバイスは影響を受けないと述べた。一方、ソフトウェアウォレット利用者には状況が解明されるまでオンチェーン取引を一時的に避けるよう警告し、シードフレーズが直接狙われているかは現時点で不明だと付け加えた。
用語解説
- サプライチェーン攻撃: ソフトウェアの開発または配布過程を狙い、信頼されたソフトウェアパッケージに悪意あるコードを注入するサイバー攻撃。
- NPM（Node Package Manager）: JavaScriptで広く利用されているパッケージマネージャーで、再利用可能なコードモジュールをエコシステム全体に配布する。
- 仮想通貨アドレスすり替え: マルウェアが送金先の仮想通貨アドレスを攻撃者のものに置き換え、資金を横取りする手口。