Ledger, il fiore all'occhiello francese dei portafogli hardware crittografici, è in subbuglio. È stata scoperta una falla preoccupante nel codice del suo sistema di connessione alla finanza decentralizzata (DeFi), che pone gravi sfide alla sicurezza dell'azienda e dei suoi utenti.

Torniamo all'hacking

Il Connect Kit di Ledger, utilizzato per integrare applicazioni decentralizzate (dapps) con i prodotti Ledger, è stato bersaglio di un attacco hacker. L'incidente è stato inizialmente segnalato da Matthew Lilley, CTO di Sushi, che ha avvertito gli utenti della compromissione del connettore del portafoglio. Questa falla ha consentito l'iniezione di codice dannoso che ha colpito molte dapp. L'attacco ha innescato una finestra pop-up che invitava gli utenti a connettere il proprio portafoglio, attivando un meccanismo di diversione dei token.

ALLARME ROSSO:

Non interagire con NESSUNa dApp fino a nuovo avviso. Sembra che sia stato compromesso un connettore web3 comunemente utilizzato che consente l'iniezione di codice dannoso che colpisce numerose dApp.

— Sono Software (@MatthewLilley) 14 dicembre 2023

La falla di sicurezza nel Connect Kit di Ledger ha influenzato i principali protocolli DeFi come Zapper, SushiSwap, Phantom, Balancer e Revoke.cash, con potenziali implicazioni per altri sistemi simili. Secondo Lookonchain, una piattaforma di analisi blockchain, l'hacker dietro l'attacco ha rubato almeno 4.334 Ether (ETH), equivalenti a quasi 484.000 dollari.

Un hacker ha attaccato#Ledgere ha rubato asset da ~$484.000#LedgerExploiterha trasferito 4.334 $ETH a #AngelDrainer.

E anche#AngelDrainersta attualmente ricevendo asset e detiene asset da $ 363.000.https://t.co/ZG5SRlKBjW pic.twitter.com/RK9aPyAjEE

— Lookonchain (@lookonchain) 14 dicembre 2023

In seguito a questa violazione della sicurezza è stata colpita anche MetaMask, un concorrente dell’unicorno francese. Consapevole dell'urgenza, MetaMask ha reagito rapidamente implementando un aggiornamento critico per la sua piattaforma. I suoi tecnici hanno assicurato che gli utenti dotati dell'ultima versione, v2.121.0, saranno in grado di riprendere le loro transazioni in modo sicuro, poiché l'aggiornamento verrà effettuato automaticamente.

Ledger non ha tardato a reagire

Due ore dopo la scoperta della falla di sicurezza, Ledger ha agito rapidamente sostituendo la versione compromessa del suo connettore con un aggiornamento sicuro. Allo stesso tempo, l’azienda ha avvisato i propri utenti dell’importanza di verificare le informazioni visualizzate durante le transazioni. Hanno insistito sul fatto che i dati affidabili sono quelli che appaiono sullo schermo del dispositivo Ledger. L'azienda consiglia inoltre agli utenti di prestare attenzione e di interrompere qualsiasi transazione se le informazioni visualizzate sulla chiavetta differiscono da quelle sugli altri schermi.

Più paura che danno: Tether, attraverso il suo leader Paolo Ardoino, ha annunciato di aver congelato l'indirizzo dello sfruttatore.

Tether ha appena congelato l'indirizzo dello sfruttatore di Ledger

— Paolo Ardoino (@paoloardoino) 14 dicembre 2023

Morale della favola: anche la quercia più forte si piega al vento.