2023年12月14日，据 Beosin EagleEye 安全态势感知平台消息，大量去中心化应用由于使用 Ledger 被恶意植入的库导致用户资产被盗，黑客获利超60万美元。Beosin 安全团队第一时间对事件进行了分析，结果如下。
connect-kit简介
connect-kit是Ledger的一个Javascript库，允许用户将其 Ledger 设备连接到第三方 DApp。库链接地址: https://www.npmjs.com/package/@ledgerhq/connect-kit
漏洞分析
该事件发生的原因是因为一名前 Ledger 员工被网络钓鱼攻击，而Ledger并未取消该员工的代码访问权限，攻击者从而获得了其 NPMJS 帐户的访问权限。随后，攻击者发布了 Ledger Connect Kit 的恶意版本（受影响版本为 1.1.5、1.1.6 和 1.1.7）。
攻击流程
早在4个月前，攻击者便发布了 Ledger Connect Kit 1.1.5 恶意版本，并在两个月前先后发布了 Ledger Connect Kit 1.1.6 和 Ledger Connect Kit 1.1.7 两个恶意版本，通过CDN分发，利用恶意代码将用户的资金转移到指定的黑客钱包地址。
资金追踪
目前黑客的资金地址（0x658729879fca881d9526480b82ae00efc54b5c2d）已被 EagleEye 标记为 Ledger Exploiter，用户可以在 EagleEye 网站上对其进行实时监控：
链接：https://eagleeye.space/address/0x658729879fca881d9526480b82ae00efc54b5c2d
此次攻击涉及多条公链，黑客转移了众多用户在Ethereum、BNB Chain、Arbitrum、Base、Fantom等网络的资产，获利超60万美元。
根据Beosin trace查询显示，截止发文时，以太坊上的被盗资金部分被发到了 Fake_Phishing268838 钓鱼地址：
0x1b9f9964a073401a8bc24f64491516970bb84e47
其余还保存在攻击者地址中（由于代币种类过多，以下图片仅展示部分信息）
KYT反洗钱分析平台
BSC链上被盗资金目前全部保存在攻击者地址中：
本次事件涉及大量公链上的用户被盗，这里仅展示以太坊和BSC上的被盗情况
安全建议
本次事件再次反映了供应链安全的重要性。在Web3安全中，供应链安全经常被开发者和安全团队忽视，而黑客可以通过软件供应链的各个环节植入恶意代码，窃取用户信息和数字资产，进行大规模的攻击。
Beosin 对防范此类安全事件的建议如下：
1. 在选择和使用第三方软件或组件时，需进行安全审查和验证。了解第三方的安全标准和实践，确保软件没有被篡改或植入恶意代码。
2. 采用安全的开发实践，如使用安全编码标准、代码审查、漏洞扫描和安全测试等，确保软件在开发过程中始终处于安全状态。
3. 及时应用软件供应商发布的安全更新和补丁，以修复已知的漏洞和缺陷。保持软件处于最新版本，减少被攻击的风险。
4. 采用多层次的安全防御策略，包括网络安全、终端安全和数据安全等。使用入侵检测系统、终端安全软件和数据加密等措施，提高整个软件供应链的安全性。
5. 建立监测和响应机制，及时检测异常活动和潜在的供应链攻击，并采取相应的应对措施，如隔离受感染的代码库、及时修复漏洞和恢复数据等。
6. 提供员工培训和意识提升，使其能够识别社会工程学攻击与供应链攻击，并采取适当的防范措施，如警惕钓鱼邮件、不随意下载附件等。开发团队的员工权限需要及时更新，交接代码权限需做到透明清晰。
Beosin 作为一家全球领先的区块链安全公司，在全球10多个国家和地区设立了分部，业务涵盖项目上线前的代码安全审计、项目运行时的安全风险监控、预警与阻断、虚拟货币被盗资产追回、安全合规KYT/AML等“一站式”区块链安全产品+服务，公司致力于Web3生态的安全发展，已为全球3000多个企业提供区块链安全技术服务，包括HashKey Group、Amber Group、BNB Chain等，已审计智能合约和公链主网超3000份，包括PancakeSwap、Ronin Network、OKCSwap等。
More than 28 typical security incidents occurred in January 2024, and the total loss caused by hacker attacks, phishing scams and Rug Pull was approximately US$209 million, an increase of approximately 97% from December last year.
JinseFinanceExplore the groundbreaking potential of Retik Finance (RETIK) in our in-depth article. Discover how RETIK sets itself apart from Bitcoin and other cryptocurrencies with its advanced technology, enhanced security, and user-centric design. Delve into the future of digital finance with Retik Finance, poised to redefine the cryptocurrency landscape.
WeiliangCoinbase executives offer assistance to the SEC after a security breach. The SEC prematurely posted a bitcoin ETF approval message, leading to criticism and a senatorial inquiry. Despite legal disputes, Coinbase commits to supporting fair markets. The incident raises concerns about the SEC's cybersecurity procedures.
SanyaIn a significant move on December 19, 2023, the Federal Trade Commission (FTC) concluded an enforcement action against retail giant Rite Aid. The settlement sheds light on vital insights for firms navigating the complex terrain of biometrics and AI tools. Alleged Section 5 violations related to Rite Aid's use of facial biometrics triggered the settlement, highlighting the heightened risks around deploying advanced tech.
EdmundJinseFinanceJinseFinanceJinseFinanceJinseFinanceAccording to the monitoring of Beosin EagleEye Web3 security early warning and monitoring platform, as of press time, a total of 8 attack-related security incidents occurred last week, and the cumulative amount affected was about 120 million US dollars.
