Cosine: Mặc dù phiên bản Ledger npmjs bị nhiễm độc đã bị xóa nhưng vẫn còn các tệp js bị nhiễm độc trên jsDelivr

Người sáng lập SlowMist Yu Xian đã đăng trên nền tảng X rằng các bên dự án hiện cần chú ý đến sự cố lỗ hổng Ledger Connect Kit: 1. Mô-đun bị nhiễm độc của Ledger nằm trên nền tảng npmjs, sau khi tài khoản npmjs của một nhân viên cũ bị lừa đảo chiếm đoạt, kẻ tấn công có thể tùy ý tung ra các phiên bản mô-đun bị nhiễm độc. 2. Mô-đun đã xuất bản sẽ được tự động cập nhật lên jsDelivr CDN. 3. Bộ kết nối của Ledger trực tiếp giới thiệu tệp js jsDelivr CDN, tệp này rất thô sơ, không có ràng buộc băm tệp và không có hạn chế nghiêm ngặt đối với phiên bản đã nhập. 4. Cựu nhân viên vẫn để lại quyền hạn quan trọng như vậy, cơ chế quản lý an ninh nội bộ phải được tăng cường, nguyên tắc trong trường hợp xấu nhất, nếu phạm tội trong nội bộ, có thể tránh được và phát hiện kịp thời một cách hiệu quả không? 5. Cần lưu ý rằng mặc dù phiên bản Ledger npmjs bị nhiễm độc đã bị xóa nhưng vẫn còn các tệp js bị nhiễm độc trên jsDelivr. Những đề xuất bảo mật này là để các bên tham gia dự án khác học hỏi. Đừng lười biếng. Mỗi sự cố bảo mật đều là cơ hội tốt để bạn xem xét lại bản thân.