კრიპტოვალუტის სამყაროში ახალი საფრთხე გაჩნდა. უსაფრთხოების ფირმა Socket-ის ანგარიშის თანახმად, „TrapDoor“-ის სახელით ცნობილი კამპანია მიზანმიმართულად უტევს პროგრამისტებს, რომლებიც კრიპტო და AI პროექტებზე მუშაობენ. შეტევა არ არის გათვლილი რიგით მომხმარებელზე; მისი მთავარი სამიზნე დეველოპერების სამუშაო სადგურებია.

ჰაკერებმა შექმნეს 34-ზე მეტი მავნე პაკეტი, რომლებიც გავრცელდა ისეთ ცნობილ პლატფორმებზე, როგორიცაა npm, PyPI და Crates.io. ეს პაკეტები შენიღბულია როგორც სასარგებლო ინსტრუმენტები: უსაფრთხოების სკანერები, საფულეების დამხმარე პროგრამები ან ხელოვნური ინტელექტის მქონე კოდირების დამხმარეები.

როგორ მუშაობს TrapDoor?

მავნე კოდი აქტიურდება ინსტალაციისთანავე. როგორც კი დეველოპერი საკუთარ კომპიუტერზე პაკეტს დააინსტალირებს, „TrapDoor“ იწყებს სისტემის სკანირებას. ჰაკერების მიზანია:

  • კრიპტო საფულეების პირადი გასაღებების მოპარვა.
  • GitHub ტოკენებისა და ღრუბლოვანი სერვისების (AWS) წვდომის მონაცემების ხელში ჩაგდება.
  • SSH გასაღებების მოპარვა, რაც ჰაკერებს კომპანიის შიდა ინფრასტრუქტურაში შეღწევის საშუალებას აძლევს.

განსაკუთრებით საყურადღებოა შეტევის მეთოდი, რომელიც ხელოვნური ინტელექტის ინსტრუმენტებს იყენებს. თავდამსხმელები პროექტებში ნერგავენ ფაილებს, როგორიცაა .cursorrules და claude.md. მათში ჩამალულია უხილავი სიმბოლოები, რომლებიც AI ასისტენტებს აიძულებს, შეასრულონ ყალბი „უსაფრთხოების სკანირება“, რაც სინამდვილეში მომხმარებლის საიდუმლო მონაცემების ექსფილტრაციას ემსახურება.

მიზანში - Solana, Sui და Aptos

მავნე კოდი სპეციალურად არის მორგებული ისეთ ეკოსისტემებზე, როგორიცაა Solana, Sui და Aptos. მაგალითად, Rust-ის პაკეტები იყენებენ მავნე build.rs სკრიპტებს, რომლებიც კომპილაციის პროცესში აქტიურდება. ეს მიუთითებს იმაზე, რომ თავდამსხმელები კარგად იცნობენ თანამედროვე ბლოკჩეინ-დეველოპერების სამუშაო ნაკადს.

Socket-მა უკვე აცნობა შესაბამის რეესტრებს საფრთხის შესახებ. მიუხედავად იმისა, რომ ამ ეტაპზე დაზარალებულთა ზუსტი რაოდენობა ან მოპარული თანხების მოცულობა უცნობია, ექსპერტები აფრთხილებენ დეველოპერებს, იყვნენ უკიდურესად ფრთხილად უცნობი პაკეტების ინსტალაციისას, განსაკუთრებით მაშინ, როდესაც საქმე ეხება კრიპტო-პროექტების ინფრასტრუქტურას.