О поставке npm и атаке на цепочку поставок: Поддерживающий npm qix стал жертвой целенаправленной социальной инженерии, кликнув на поддельное письмо для сброса 2fa, что привело к утечке прав. Злоумышленник затем использовал его аккаунт для отправки новой версии с бэкдором, затронувшей такие основные библиотеки, как chalk и debug. Эта атака имеет широкий охват. Во-первых, она очень скрытная. Первая часть сохраняет нормальную функциональность и не вызывает немедленных ошибок. Пейлоад был замаскирован, и статический аудит также с трудом может его обнаружить. Хакеры даже перехватили fetch, XMLHttpRequest и ethereum.request, даже инструменты отладки могут быть обмануты. Во-вторых, эффект атаки очень серьезен. Замена адреса не происходит произвольно, а вычисляется с использованием расстояния Левенштейна для нахождения наиболее близкого адреса злоумышленника, который пользователь почти не может различить. Он также специально адаптирован для DEX-роутеров, и большинство свопов могут быть перехвачены; возвращается поддельный успешный ответ, разработчики и пользователи будут думать, что с транзакцией все в порядке, в то время как средства уже были переведены. Если бы не аппаратный кошелек, который может подтвердить на последнем этапе, многие люди могли бы даже не узнать, как исчезли их деньги. Если вы используете кошелек onekey app: полностью не затронут. Если вы используете onekey app + аппаратный кошелек onekey: еще безопаснее, также полностью не затронут. Если вы используете аппаратный кошелек onekey + приложения других производителей: обязательно подтвердите адрес и сумму на экране аппаратного кошелька. Разбор на аппаратном устройстве является окончательной защитой, в критический момент может спасти жизнь. Не доверяйте отображению на веб-страницах или плагинах, пока не будет официального отчета или мер по исправлению. Вот и все.