وفقًا لـ CryptoPotato، أعلنت شركة Ledger، وهي الشركة المصنعة لمحفظة الأجهزة، عن خطط لتعطيل التوقيع الأعمى للتطبيقات اللامركزية لـ Ethereum Virtual Machine (EVM) (DApps) بحلول يونيو 2024. ويأتي هذا القرار ردًا على استغلال حيث تمت إضافة أداة تجفيف المحفظة إلى المكتبة التي يستخدمها العديد من التطبيقات اللامركزية للاتصال بأجهزة Ledger. وكشفت الشركة عن سرقة ما يقرب من 600 ألف دولار من الأصول المشفرة خلال عملية الاستغلال الأخيرة، والتزمت بتعويض الضحايا المتضررين. أعلنت ليدجر أنها ستتوقف عن ممارسة التوقيع الأعمى باستخدام أجهزة ليدجر بحلول يونيو 2024، بهدف إنشاء معيار جديد لتعزيز حماية المستخدم وتعزيز التوقيع الواضح عبر التطبيقات اللامركزية.
في الاستغلال الأخير الأسبوع الماضي، حدد المطورون على تويتر إصدارًا ضارًا من Ledger Connect Kit، وهي مكتبة تسهل الاتصال بين أجهزة Ledger والتطبيقات اللامركزية. وفقًا لشركة BlockAid الأمنية Web3، قام المهاجم بحقن حمولة تستنزف المحفظة في حزمة NPM الخاصة بـ Ledger Connect Kit، مما يسمح لهم باستنزاف الأموال من المستخدمين الذين سجلوا على DApps مثل Sushi.com وHey.xyz. حذر MetaMask، مطور محفظة البرامج، المستخدمين من "التوقف عن استخدام التطبيقات اللامركزية" بعد أنباء الهجوم. وأكد ليدجر أن الهجوم وقع بسبب وقوع موظف سابق ضحية لهجوم تصيد احتيالي، مما سمح للمهاجم بالوصول إلى حساب NPMJS الخاص بالموظف السابق ودفع نسخة ضارة من Ledger Connect Kit. قامت مجموعة Connect Kit المخترقة بإعادة توجيه أموال المستخدم من أي محفظة متصلة بـ DApp واستخدامها إلى محفظة المتسلل. استجابت ليدجر بسرعة، ونشرت إصلاحًا في غضون 40 دقيقة من تنبيه فرق الأمن لديها. تم إصدار نسخة جديدة من Connect Kit (1.1.8). ولم يؤثر الاستغلال على أجهزة Ledger وتطبيق Ledger Live.