Атака на цепочку поставок: вредоносная версия xrpl.js угрожала кошелькам XRP
Блокчейн-аудиторы Aikido обнаружили пять опасных обновлений официального пакета xrpl.js в менеджере компонентов npm. Библиотека, загружаемая более 140 000 раз в неделю, содержит инструменты для работы с XRP Ledger. Вредоносный код открывал бэкдор, позволяя похищать приватные ключи и опустошать DeFi-кошельки. Ripple оперативно пометила компрометированные версии как устаревшие, однако угроза сохранялась почти сутки — достаточно, чтобы тысячи разработчиков автоматически потянули обновление. По данным фонда XRPL, крупнейшие мультисиг-сервисы не успели интегрировать заражённый релиз, серьёзных хищений не зафиксировано, но пользователям рекомендовано проверить хэши библиотек и перегенерировать ключи. Инцидент вновь указал на уязвимость «цепочек поставок» в open-source: злоумышленнику достаточно внедриться в популярный пакет, чтобы атаковать экосистему. Ripple готовит подробный отчёт и планирует усилить процесс подписания релизов и мониторинг репозиториев.