作者：极客Web3，来源：作者推特@eternal1997L
刚才，Ledger Connect Kit的npm库1.1.5/1.1.6/1.1.7被黑客攻击，其中植入了攻击逻辑。
Ledger Connect Kit是用于dApp连接Ledger钱包的一个库，被很多dApp集成，发布于Ledger的npm管理网站JSDELIVR上。
Ledger在该网站的账户被盗，黑客将该库替换为了有害版本。
在本次攻击的文件中可以看到，黑客直接用Drainer类替换了正常的窗口逻辑。
Drainer顾名思义就是榨取器，不仅会弹出伪造的DrainerPopup弹窗，也会处理各种资产的转账逻辑。
在Drainer类的start()方法中，会检查该钱包的余额，如果小于黑客设置的minimalDrainValue=0.001
主币，则不会启动攻击。
显然，在任何常见的EVM系网络上，余额小于这个数的钱包都不太可能有任何有价值的资产，黑客也不想浪费时间。
然后开始搜索sweets“甜点”，也就是你的资产。
对不同的资产，黑客丧心病狂地布置了约30多个case，包括ETH/BSC/ARB等知名主网的主币和其上的知名项目的代币、NFT等，只要你有相应的资产，就会直接触发转账动作。
以其中transferNative()转走主币为例，虽然发送这一步还是要取得签名的，但中招的用户应该不少。
Ledger应对方法很简单：夺回账号控制权，更新库版本1.1.8，发布新库。
可以看到1.1.8的更新记录，没有任何实际内容，只有版本号变化，因为github上的代码库并没有出问题。
Ledger在发布新版本后，一是可以让开发者使用最新的1.1.8版本而非被黑客替换的版本，二是可以让用户检查是否正在使用有问题的版本。
修复方法
对用户而言，应访问先访问https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 看看图中划出来这部分文字是否是1.1.8 ，或者更高的版本，如果是则表示安全。
如果不是，进入浏览器的开发者工具，清除缓存后完成修复。
对开发者而言，应该更新项目内的npm依赖。已经上线的项目的且不是在线动态引用库的项目，并且使用了有问题版本的，应该重新编译和部署。
Q：我不是Ledger用户，会不会受影响？
A：根据Ledger官方的介绍，这个库是用来连接Ledger钱包的。但黑客修改了弹窗逻辑，其他钱包用户也可能受影响。
Q：助记词或者私钥会被盗吗？
A：不会。不论冷钱包和热钱包，其keyring私钥管理模块都只在限定的场景内交出助记词和私钥（一般是用户要求查看助记词）。不可能暴露给任何其他函数调用。
حصلت مؤسسة Fantom على حكم افتراضي ضد Multichain Foundation، مما يمثل خطوة حاسمة في سعيها لتحقيق العدالة بعد تعرضها لخسائر كبيرة من استغلال في يوليو 2023. من خلال خطط لتقديم التماس للإفلاس، تهدف Fantom إلى تعيين مصفي للمساعدة في جهود استرداد الأصول، وحث المستخدمين المتأثرين على المشاركة بنشاط في الإجراءات القانونية لاسترداد المبالغ المحتملة.
Weatherlyتقدم أنثروبيك كلود 3، وهو ثلاثي من نماذج الذكاء الاصطناعي التي تتميز بتطورات لا مثيل لها في المهام المعرفية، بدءًا من المعالجة السريعة وحتى الفهم شبه البشري. تتفوق Haiku في السرعة، وتوازن Sonnet بين السرعة والذكاء، وتظهر Opus كقوة قوية، متجاوزة المعايير وتعيد تعريف معايير الذكاء الاصطناعي.
Weatherlyارتفعت عملة البيتكوين إلى أعلى مستوى قياسي سابق لها وهو 69000 دولار وسط تزايد التبني السائد والاهتمام المؤسسي، مدفوعًا بالموافقة على الصناديق المتداولة في البورصة. على الرغم من التحديات، تظل مرونة بيتكوين باعتبارها حجر الزاوية في سوق العملات المشفرة واضحة، حيث يتوقع المتحمسون المزيد من المكاسب مدفوعة بحدث النصف القادم.
Joyارتفعت عملة البيتكوين إلى مستوى قياسي لكنها تراجعت بسرعة، مما يعكس ديناميكيات السوق المتقلبة. ينمو الاستثمار المؤسسي وسط حالة من عدم اليقين التنظيمي، في حين تستمر المخاوف بشأن فائدة البيتكوين، مما يترك المستثمرين يتساءلون عن آفاقها على المدى الطويل.
Weatherlyيستمر جنون العملات المشفرة مع ارتفاع العملات الرقمية، لكن فيتاليك بوتيرين يحذر من أن التفاوتات في الاستثمار تعيق النمو المتوازن والابتكار في النظام البيئي للعملات المشفرة. يسلط صعود Dogecoin الضوء على عدم التوازن حيث يدعو Buterin إلى اتباع نهج أكثر إنصافًا في استثمارات العملات المشفرة لضمان الاستدامة والشمولية على المدى الطويل.
Weatherlyتدرس تيماسيك الاستثمار في OpenAI، وهي خطوة تعكس الاهتمام المتزايد بتقنيات الذكاء الاصطناعي. ارتفع تقييم OpenAI، مع وجود مناقشات تشير إلى الدعم المحتمل من مستثمرين بارزين مثل تيماسيك.
JoyNotcoin، لعبة النقر الشهيرة على Telegram، توفر الآن للاعبين الفرصة لكسب العملة المشفرة قبل توزيعها. من خلال آليات النقر البسيطة والتعزيزات الإستراتيجية، يمكن للمستخدمين زيادة أرباحهم من Notcoin إلى أقصى حد للحصول على مكافآت محتملة.
Anaisفي عام 2024، ارتفع رمز Dogwifhat بنسبة 1400٪ وسط ارتفاع عملة البيتكوين، مما أثار اهتمام المستثمرين. ومع ذلك، يُنصح بالحذر حيث يشير التحليل الفني إلى تراجع محتمل، مما يسلط الضوء على الحاجة إلى دراسة متأنية قبل الاستثمار في أصول المضاربة مثل Dogwifhat.
Weatherlyحظرت إسبانيا طريقة جمع بيانات مسح العين الخاصة بـ Worldcoin بسبب مخاوف تتعلق بالخصوصية، بينما يواجه OpenAI، وهو مشروع آخر لـ Sam Altman، نزاعًا قانونيًا مع Elon Musk حول الانحرافات المزعومة عن أهدافه الأصلية.
Anaisتشهد PoliFi، وهي مزيج من العملات المعدنية والسياسة، ارتفاعًا في قيمة الرموز المميزة مثل Tremp وBoden على سلسلة Solana blockchain، مما يعكس نهجًا مرحًا ومربحًا للمراهنة السياسية. بفضل سحرها غير الموقر وربحيتها المحتملة، توفر عملات PoliFi meme للمستثمرين فرصة فريدة للتعامل مع كل من الأصول المشفرة والحماس السياسي.
Anais