暗号資産取引所Gateは主要なNPMサプライチェーン攻撃の影響を受けていません

Gateは、最近の歴史の中でJavaScriptエコシステムに襲いかかった最も重要なサプライチェーン攻撃のひとつの間に、顧客データと資産が安全に保たれていたことを確認しました。

ソーシャルメディアで発表された声明の中で、Gateは、数十億の週次アプリダウンロードに関与する広く使用されているNode.jsパッケージを標的とした侵害中に、データベースに対して損害は発生しなかったとユーザーに保証しました。

"当取引所は最近のサプライチェーン攻撃を綿密に監視しており、いくつかの人気のあるJavaScriptパッケージの悪意のあるバージョンが公開されたことを確認しています。"と取引所は述べました。“徹底的な調査の結果、我々のシステムは侵害されていないと自信を持って言えますし、すべての顧客データと資産は安全です。セキュリティは常に我々の最優先事項ですが、この事件はサプライチェーンセキュリティの重要性を改めて思い出させるものです。我々はユーザーの安全を守ることを引き続きコミットしています。”

ソーシャルメディアを通じてサプライチェーン攻撃についてコメントしたGateの上級幹部は、「セキュリティの状況は急速に進化しています。オープンソースソフトウェアにとってもです。Web3の未来は、おそらくWeb2のセキュリティ基準を再定義するでしょう。私たちはまだこの変革の初期段階にいます。」と述べました。

JavaScriptパッケージ攻撃が暗号投資家の間で懸念を呼び起こす

9月8日、ハッカーがNPMの歴史の中で最も広範な攻撃の一つと呼ばれる攻撃を実行しました。この侵害は、"qix"として知られる信頼できるオープンソースメンテイナーのアカウントを侵害するもので、後にJosh Junonとして特定されました。

攻撃者は高度なフィッシング技術を用い、JavaScriptパッケージの主要リポジトリであるnpmjsからの公式な通信を模倣したメールを送信しました。この欺瞞的なメッセージは、Junonに対して、彼のアカウントが2025年9月10日にロックされることを警告し、迅速に二要素認証の資格情報を更新するように促しました。

詐欺的なメールには次のように記載されていました：“アカウントのセキュリティを向上させるための継続的な努力に従い、すべてのユーザーにTwo-Factor Authentication (2FA)の資格情報を更新する必要があります。私たちのシステムによると、最後の2FAの更新から12ヶ月以上が経過しています。”

Junonは後に、別のメンテナーが彼のNPMアカウントが「隠されたバックドアを持つパッケージを配布している」と発見した後、彼がフィッシング詐欺の被害者になったことをソーシャルメディアで確認しました。この侵害により、攻撃者は彼のアカウントをハイジャックし、18の人気Node.jsライブラリに悪意のある更新をプッシュすることができました。

影響を受けたパッケージには、chalk、debug、ansi-styles、strip-ansiなどの広く使用されているツールが含まれており、これらはすべてウェブエコシステムに深く統合されています。

悪意のあるコードが仮想通貨取引を狙う

Aikido Securityによる分析では、攻撃者が侵害されたパッケージにコードを注入し、それによってブラウザベースのインターセプターとして機能することを可能にしたことが明らかになりました。悪意のあるコードはindex.jsファイルに挿入され、影響を受けたパッケージを使用しているソフトウェアのネットワークトラフィックやアプリケーションAPIをハイジャックする可能性があります。

注入されたスクリプトは、ビットコイン、イーサリアム、ソラナ、トロン、ライトコイン、ビットコインキャッシュなどの主要なデジタル資産に関与するウォレットアドレスと取引を監視するために設計されていました。検出されると、マルウェアは意図された送金先のウォレットアドレスを攻撃者が制御するものに静かに置き換え、犠牲者の気付かぬうちに資金を効果的に転送しました。

著名なハードウェアウォレットメーカーの上級幹部は、悪意のあるコードがすでに10億回以上ダウンロードされたパッケージに広がっていると述べ、この攻撃の潜在的な規模を強調しました。

広範囲にわたる侵害にもかかわらず、ブロックチェーン分析会社は月曜日遅くに、これまでに盗まれた暗号通貨の価値は$159 に過ぎないと報告しました。盗まれた資金は、セキュリティチームが共有した元の開示で以前に特定されたアドレスに追跡されました。

しかし、研究者たちは、この比較的低い数字が、妥協されたパッケージに関連する数十億のダウンロードを考慮すると、必ずしも限られた潜在的な損害を示すものではないと警告しています。このサプライチェーン攻撃の完全な影響を評価し、緩和するには時間がかかるかもしれません。

暗号通貨業界が進化するセキュリティの課題に対処し続ける中、Gateのような取引所は、ますます巧妙化するサイバー脅威からユーザーの資産とデータを保護するために警戒を怠りません。