慢雾余弦:虽然Ledger npmjs被投毒版本已删除,但目前jsDelivr上还有带毒js文件
来源: 金色财经2023-12-15
金色财经报道,慢雾创始人余弦在社交媒体就Ledger漏洞发文表示,项目方目前需要注意: 1.Ledger被投毒的模块在npmjs平台上,前员工的npmjs账号被钓鱼劫持走后,攻击者就可以任意发布带毒的模块版本。 2.发布后的模块会自动更新到jsDelivr CDN下。 3.Ledger的Connect Kit直接引入了jsDelivr CDN js文件,非常粗暴,没有文件哈希绑定,没有严格限制引入版本。 4.前员工居然还遗留这么重要的权限,内部安全管理机制得好好增强了,最坏原则,如果内部作恶,是否可以有效避免并及时发现。 5.需要注意下,虽然Ledger npmjs被投毒的版本已经删除,但目前在jsDelivr上还有带毒js文件。 这些安全建议供其他项目方借鉴,别偷懒,每一次安全事件都是复盘自身的好机会。
热门新闻
- 1下周必关注|BounceBit将上线主网并空投代币;LayerZero将公布官方女巫检查结果(5.13-5.19)
- 2BounceBit主网已上线,推出节点质押和委托等多项新功能
- 3以太坊近期事件解析:香港加密ETF影响、美国ETH ETF前景、ETH是否会被认定为证券?
- 4特朗普“蹭”上加密圈:买4653美元NFT即可参与晚宴 相关MEME币飞涨
- 5Bitget研究院:加密市场全线反弹,Blast 6月26日确定空投
- 6全览FHE赛道:25个值得关注的项目
- 7特朗普和拜登,打响“加密大选”之战
- 8链游周报 | MATR1X阿波罗计划即将上线;超90%游戏代币下跌(5.6-5.12)
- 9Coinbase加密周报:市场或迎来拐点 Aave透露V4计划
交易平台最新公告查看更多>