慢雾：使用 ledgerhq/connect-kit 版本 >1.1.4 的 Dapp 均受影响

慢雾：使用ledgerhq/connect-kit版本>1.1.4的Dapp均受影响2023年12月14日8:33PM慢雾安全威胁情报发现@ledgerhq/connect-kit遭受供应链攻击，攻击者在@ledgerhq/connect-kit>1.1.4的版本中植入了恶意的JS代码从而对加密货币用户发起钓鱼攻击。使用@ledgerhq/connect-kit版本>1.1.4的Dapp均受到影响，请注意排查代码中是否有使用到如下受影响版本。影响版本范围：@ledgerhq/connect-kit1.1.5(攻击者在代码中进行留言)@ledgerhq/connect-kit1.1.6(攻击者在代码中进行留言并植入恶意的JS代码)@ledgerhq/connect-kit1.1.7(攻击者在代码中进行留言并植入恶意的JS代码)慢雾安全团队建议，在没有官方明确修复前，请谨慎使用DApp进行交互操作。

慢雾余弦：建议清除浏览器缓存以消除 Ledger 恶意代码

慢雾余弦：建议清除浏览器缓存以消除Ledger恶意代码慢雾创始人余弦在社交媒体就Ledger漏洞发文表示，1.Ledger模块ledgerhq/connect-kit被投毒问题基本得到了缓解，但被投毒代码可能还在浏览器缓存着，如果不是特别确定，一定清除下浏览器缓存（包括在用钱包App内置浏览器缓存）；2.用户一定要再三确认钱包的每一笔待签名内容；3.Ledger钱包本身不受影响；4.这次供应链攻击细节很耐人寻味，这样的猎手在这个黑暗森林里并不稀有；5.Tether出手及时，冻结了钓鱼获利的USDT，对比起来，USDC一如既往的无视。

Ledger：正版且经过验证的 Ledger Connect Kit 版本 1.1.8 现可安全使用

Ledger：正版且经过验证的LedgerConnectKit版本1.1.8现可安全使用Ledger在X平台发布漏洞最新更新，表示正版且经过验证的LedgerConnectKit版本1.1.8现已推送并且可以安全使用。对于正在开发LedgerConnectKit代码并与之交互的构建者：NPM项目上的connect-kit开发团队现在是只读的，出于安全原因无法直接推送NPM包。恶意代码使用流氓WalletConnect项目将资金重新路由到黑客钱包。Ledger的技术和安全团队收到了警报，并在Ledger意识到后40分钟内部署了修复程序。该恶意文件的存活时间约为5小时，但资金被耗尽的时间窗口仅限于不到两个小时。团队正在提出投诉，并与执法部门合作进行调查，以找到攻击者，并且正在研究该漏洞以避免进一步的攻击。

【慢雾余弦：Balancer被攻击是由于官方域名所用的DNS服务商被攻击所致】

【慢雾余弦：Balancer被攻击是由于官方域名所用的DNS服务商被攻击所致】2023年09月21日04点05分老不正经报道，据慢雾创始人余弦在X（原推特）发文表示，纠正昨日发布的关于Balancer被攻击事件的分析，他们doublecheck了监测数据、realScamSniffer的监测数据及官方的说明，他们认可官方的说法，这是官方域名所用的DNS服务商被攻击所致，攻击者修改了Balancer有关的DNS解析，并下发了新的https证书，这个过程对用户来说也是静默的。BGP劫持攻击的出现仅是个巧合。昨日，余弦团队就Balancer被攻击事件发文表示，Balancer前端被黑原因：BGP劫持引发DNS后续的静默劫持，篡改了其中一个js文件，植入钓鱼恶意代码。

Ledger：现可安全使用新版 Ledger Connect Kit，建议等待 24 小时并清除浏览器缓存

Ledger：现可安全使用新版LedgerConnectKit，建议等待24小时并清除浏览器缓存Ledger表示，正版LedgerConnectKit1.1.8版本已推送。确认Ledger和WalletConnect恶意代码已被停用。用户已可以安全使用LedgerConnectKit，但建议等待24小时并清除浏览器缓存。Ledger表示，已识别并删除LedgerConnectKit的恶意版本。

Ledger爆大规模资安、众多DApp受影响，慢雾：勿操作，静待各方更新

Ledger爆大规模资安、众多DApp受影响，慢雾：勿操作，静待各方更新https://abmedia.io/identified-a-malicious-version-of-the-ledger-connect-kit?utm_source=rss&utm_medium=rss&utm_campaign=identified-a-malicious-version-of-the-ledger-connect-kit&utm_source=rss&utm_medium=rss&utm_campaign=identified-a-malicious-version-of-the-ledger-connect-kit