Los paquetes de código despejado publicados en los repositorios npm y PyPI estaban vinculados con código que robaba credenciales de billetera de los desarrolladores de dYdX y sistemas backend y, en algunos casos, dispositivos con puerta trasera, dijeron los investigadores.

“Todas las aplicaciones que utilizan las versiones de npm comprometidas están en aventura…” los investigadores, de la empresa de seguridad Socket, dijo el viernes. “El impacto directo incluye el compromiso total de la billetera y el robo irreversible de criptomonedas. El valor del ataque incluye todas las aplicaciones dependiendo de las versiones comprometidas y tanto los desarrolladores que realizan pruebas con credenciales reales como los usuarios finales de producción”.

Los paquetes que resultaron infectados fueron:

mpn (@dydxprotocol/v4-client-js):

• 3.4.1
• 1.22.1
• 1.15.2
• 1.0.31

PyPI (cliente dydx-v4):

Comercio perpetuo, orientación perpetua

dYdX es un intercambio de derivados descentralizado que respalda cientos de mercados para el “negociación perpetua”, o el uso de criptomonedas para situar a que el valía de un futuro derivado aumentará o disminuirá. Socket dijo que dYdX ha procesado más de 1,5 billones de dólares en bombeo de operaciones a lo dispendioso de su vida, con un bombeo de operaciones promedio de 200 a 540 millones de dólares y aproximadamente 175 millones de dólares en interés despejado. El intercambio proporciona bibliotecas de códigos que permiten aplicaciones de terceros para robots comerciales, estrategias automatizadas o servicios backend, todos los cuales manejan mnemónicos o claves privadas para la firma.

El malware npm incorporó una función maliciosa en el paquete legal. Cuando se procesó una frase auténtico que sustenta la seguridad de la billetera, la función la exfiltró, adjunto con una huella digital del dispositivo que ejecuta la aplicación. La huella digital permitió al actor de amenazas correlacionar las credenciales robadas para rastrear a las víctimas en múltiples compromisos. El dominio que recibió la semilla fue dydx(.)priceoracle(.)sitio, que imita el servicio dYdX legal en dydx(.)xyz mediante typosquatting.