Um agente de ameaça aparentemente explorou um token de acesso de desenvolvedor do XRP Ledger — blockchain criada pela Ripple e que sustenta a criptomoeda XRP — para inserir um código malicioso na rede em expansão. A equipe de segurança que identificou o problema alertou que a ação poderia ter sido “catastrófica” para a rede.
“As versões afetadas são de 4.2.1 a 4.2.4. Se você estiver usando uma versão anterior, não atualize”, alertou a equipe da Aikido Security em um post no X.
Charlie Eriksen, pesquisador da Aikido Security que primeiro identificou o problema, disse que um problema oculto foi adicionado às versões recentes de um novo kit de ferramentas usado para criar aplicativos que funcionam com o XRP Ledger.
“O token de acesso Node Package Manager (NPM) ou ‘gerenciador de pacotes Node’ de um desenvolvedor foi roubado pelos agentes da ameaça”, disse Aikido no X. “Não está claro como. Também não está claro quem são os agentes da ameaça (embora tenhamos um palpite que estamos tentando confirmar).”
O problema afeta apenas versões do NPM, um site onde desenvolvedores compartilham código reutilizável para projetos. Os principais serviços relacionados ao XRP, como o Xaman Wallet e o XRPScan, afirmaram, em publicações separadas, que não foram afetados, apurou o site Coindesk. Essa falha, ressalta a publicação, pode permitir que invasores roubem as chaves privadas dos usuários, possivelmente acessando suas carteiras de criptomoedas em teoria.
De acordo com Eriksen, na noite do último dia 21 o sistema Aikido Intel começou a alertar a equipe sobre cinco novas versões do pacote xrpl. Segundo ele, trata-se de um kit de desenvolvimento de software (SDK) oficial do XRP Ledger, com mais de 140.000 downloads semanais.
Leia Também
“Este pacote é usado por centenas de milhares de aplicativos e sites, o que o torna um ataque potencialmente catastrófico à cadeia de suprimentos do ecossistema de criptomoedas”, observou Eriksen, acrescentando que apenas aplicativos ou serviços de terceiros que instalaram versões defeituosas durante um breve período podem estar em risco.
Assim, a equipe da XRP Ledger Foundation corrigiu rapidamente o problema, lançando versões atualizadas da ferramenta para substituir as versões defeituosas. As versões afetadas (v4.2.1-4.2.4 e v2.14.2) foram descontinuadas.
“Para esclarecer: esta vulnerabilidade está no xrpl.js, uma biblioteca JavaScript (coleção de códigos usada para simplificar tarefas de desenvolvimento web) para interação com o XRP Ledger. Ela NÃO afeta a base de código do XRP Ledger nem o repositório do GitHub em si. Projetos que usam xrpl.js devem atualizar para a versão 4.2.5 imediatamente”, publicou a fundação separadamente.
Uma biblioteca JavaScript é uma coleção de código pré-escrito para simplificar tarefas de desenvolvimento web. Um repositório do GitHub é um espaço de armazenamento online para o código, arquivos e histórico de um projeto, hospedado no GitHub.
- Você costuma enviar dinheiro para o exterior? O MB está construindo uma solução de pagamentos que promete tornar as transferências com cripto muito mais simples. Clique aqui para responder uma pesquisa e ajudar a construir algo que faça sentido para você!
