Nadácia XRP Ledger Foundation okamžite zareagovala na kritickú bezpečnostnú zraniteľnosť, ktorá ohrozovala tisíce vývojárskych projektov využívajúcich oficiálnu JavaScript/TypeScript knižnicu xrpl. Kritická zraniteľnosť umožňovala krádež súkromných kľúčov Bezpečnostná firma Aikido odhalila, že niekoľko falošných verzií balíka – začínajúc verziou 4.2.1 – bolo zámerne infikovaných škodlivým kódom, ktorý odosielal súkromné kľúče na vzdialenú doménu 0x9c.xyz. Tento kód […]
Menej ako 1 min. min.
Nadácia XRP Ledger Foundation okamžite zareagovala na kritickú bezpečnostnú zraniteľnosť, ktorá ohrozovala tisíce vývojárskych projektov využívajúcich oficiálnu JavaScript/TypeScript knižnicu xrpl.
Kritická zraniteľnosť umožňovala krádež súkromných kľúčov
Bezpečnostná firma Aikido odhalila, že niekoľko falošných verzií balíka – začínajúc verziou 4.2.1 – bolo zámerne infikovaných škodlivým kódom, ktorý odosielal súkromné kľúče na vzdialenú doménu 0x9c.xyz. Tento kód sa spúšťal pri každom vytvorení novej peňaženky, čím útočníci získavali priamy prístup ku kryptomenovým fondom používateľov.
Čo sa presne stalo?
- Falošné verzie sa nezhodovali s oficiálnymi vydaniami na GitHube, čo pomohlo automatizovaným systémom Aikido odhaliť manipuláciu.
- Infikované verzie sa šírili cez npm ako dôveryhodný balík s viac ako 140 000 stiahnutiami týždenne.
- Škodlivý kód sa v novších verziách (
4.2.3,4.2.4) dostal priamo do zdrojových súborov, čím sa zvýšila perzistencia hrozby.
Nadácia reagovala rýchlo:
- Aktualizovala balíky na verzie
4.2.5a2.14.3, ktoré odstraňujú všetky zadné vrátka. - Odstránila infikované verzie z npm registru.
- Uistila vývojárov, že kľúčové projekty ako XRPScan, First Ledger a Gen3 Games neboli kompromitované.
Aikido zároveň odporučilo:
- Okamžite prestať používať verzie 4.2.1 – 4.2.4
- Otočiť všetky súkromné kľúče a seed frázy, ktoré mohli byť vystavené
- Skenovať sieťové logy na prítomnosť komunikácie s doménou
0x9c.xyz
XRP nezareagoval panicky
Napriek vážnosti situácie trh ostal pokojný – XRP vzrástol o 7,4 % za posledných 24 hodín a obchodoval sa za 2,24 USD v čase písania správy.
Kontext: Druhý incident XRPL v roku 2025
Toto je druhá významná udalosť v ekosystéme XRPL v tomto roku. 5. februára došlo k takmer hodinovému výpadku overovania transakcií, čo spôsobilo prerušenie siete, no bez straty údajov.
Záver: Výstraha pre celý open-source kryptopriestor
Tento incident predstavuje jeden z najvážnejších útokov na dodávateľský reťazec (supply chain attack) v kryptomenách. Zdôrazňuje potrebu:
- automatizovaných bezpečnostných auditov
- dôsledného podpisovania balíkov
- a verifikácie zdrojových kódov vo verejných repozitároch
Nadácia XRP Ledger Foundation síce reagovala promptne, no incident je jasnou pripomienkou, že bezpečnosť musí byť základnou prioritou každého krypto projektu.
Príspevok XRP Ledger Foundation vydáva urgentnú opravu je zobrazený ako prvý na Kryptoblog24.
