Uno sviluppatore falso introduce codice dannoso nel portafoglio Copay di BitPay

Secondo l'azienda, il portafoglio Copay dell'elaboratore di pagamenti Bitcoin statunitense BitPay è stato compromesso da un hacker.

Pagamento tramite BitpayannunciatoLunedì ha appreso del problema da un report di Copay su GitHub https://github.com/bitpay/copay/issues/9346, in cui si affermava che una libreria JavaScript di terze parti utilizzata dalle app era stata modificata per caricare codice dannoso.

Il malware è stato distribuito nelle versioni 5.0.2-5.1.0 delle app Copay e BitPay Wallet e potrebbe potenzialmente essere utilizzato per catturare chiavi private allo scopo di rubare Bitcoin e Bitcoin Cash.

BitPay ha detto:

"Tuttavia, l'app BitPay non era vulnerabile al codice dannoso. Stiamo ancora indagando se questa vulnerabilità del codice sia mai stata sfruttata contro gli utenti di Copay",

L'azienda chiede agli utenti di non eseguire o aprire il portafoglio Copay se utilizzano versioni dalla 5.0.2 alla 5.1.0. Ora ha rilasciato una versione aggiornata (5.2.0) senza il codice dannoso per tutti gli utenti del portafoglio Copay e BitPay che sarà disponibile negli app store "momentaneamente".

BitPay ha sottolineato: "Gli utenti dovrebbero presumere che le chiavi private sui portafogli interessati potrebbero essere state compromesse, quindi dovrebbero spostare immediatamente i fondi sui nuovi portafogli (v5.2.0)".

Bitpay ha inoltre consigliato agli utenti di non spostare fondi su nuovi wallet importando le loro frasi di backup da 12 parole, poiché corrispondono a "chiavi private potenzialmente compromesse".

"Gli utenti devono prima aggiornare i loro portafogli interessati (5.0.2-5.1.0) e poi inviare tutti i fondi dai portafogli interessati a un nuovissimo portafoglio sulla versione 5.2.0, utilizzando la funzione Send Max per avviare le transazioni di tutti i fondi", ha spiegato.

L'attacco sembra essere stato effettuato da un presunto sviluppatore chiamato Right9ctrl che ha preso in carico la manutenzione della libreria NodeJS dal suo autore che non aveva più tempo per il lavoro, ZDNetrelazioniL'attacco di ingegneria sociale è avvenuto circa tre mesi fa, quando a Right9ctrl è stato concesso l'accesso al repository, e da quel momento ha iniettato il malware.

Jackson Palmer, il creatore della Criptovaluta Dogecoin , twittatoin risposta alla notizia: "Questo è ONE dei principali problemi con i portafogli Criptovaluta basati su JavaScript con pesanti dipendenze up-stream provenienti da NPM. BitPay si è sostanzialmente fidata di tutti gli sviluppatori up-stream per non iniettare mai codice dannoso nel loro portafoglio".

Codiceimmagine tramite Shutterstock