冷錢包知名大廠Ledger昨(14)晚9點(diǎn)左右驚傳遭遇漏洞攻擊，后續(xù)查明原因?yàn)槠溥B接器ledgerhq/connect-kitnpm遭到惡意代碼入侵。

最為重要的是，由于Web3領(lǐng)域多個(gè)項(xiàng)目均與Ledger服務(wù)存在互動(dòng)，導(dǎo)致此次黑客攻擊牽連項(xiàng)目甚廣，一時(shí)間在社群和各大項(xiàng)目方中引起巨大恐慌。

Ledger執(zhí)行長(zhǎng)公開信：盡力幫助受影響的個(gè)人追回資金

在歷經(jīng)一個(gè)晚上的恐慌后，Ledger董事長(zhǎng)兼執(zhí)行長(zhǎng)Pascal Gauthier稍早對(duì)昨天的漏洞攻擊一事發(fā)布公開信，他寫道：

12月14日，我們發(fā)現(xiàn)Ledger Connect Kit遭到了攻擊，這是一個(gè)實(shí)現(xiàn)連接用戶Ledger設(shè)備至第三方DApps(與錢包連接的網(wǎng)站)按鈕的JavaScript庫。

這次攻擊是由于一位前員工遭受網(wǎng)絡(luò)釣魚攻擊，導(dǎo)致惡意行為者能夠?qū)阂馕募蟼鞯絃edger的NPMJS(JavaScript代碼的包管理器，用于不同應(yīng)用間的共享)。

Pascal Gauthier表示，此漏洞僅限于使用Ledger Connect Kit的第三方DApp，他還指出事情發(fā)生的40分鐘內(nèi)，Ledger就與Wallet Connect迅速行動(dòng)，應(yīng)對(duì)這次攻擊，移除并停用了惡意代碼。

信中強(qiáng)調(diào)，Ledger已提出投訴，將幫助受影響的個(gè)人嘗試追回資金，目前正在試圖找到攻擊者，并已開始與執(zhí)法部門合作和追蹤資金，以從黑客手中追回被盜的資產(chǎn)。

Ledger建安全版本已部署、建議等待24小時(shí)再操作

值得慶幸的是，Leger官方已經(jīng)正式修復(fù)了其漏洞，并將Ledger Connect Kit版本更新至1.1.8，使用者已可以安全使用Ledger Connect Kit，但仍建議等待24小時(shí)，同時(shí)清除瀏覽器快取再操作。

受損金額48.4萬美元

雖然眾多Web3項(xiàng)目，尤其是DeFi項(xiàng)目均受Ledger此次被黑事件牽連，但好在發(fā)現(xiàn)早、反應(yīng)快、處理迅速，因此此次事件所遭損失在目前并不算多。

據(jù)鏈上數(shù)據(jù)監(jiān)測(cè)團(tuán)隊(duì)Lookonchain監(jiān)測(cè)顯示，截至昨晚11點(diǎn)左右，Ledger Connect Kit漏洞攻擊者竊取資金約為48.4萬美元，且已經(jīng)將4.334枚ETH轉(zhuǎn)移到釣魚團(tuán)伙Angel Drainer。

需要注意的是，安全團(tuán)隊(duì)慢霧創(chuàng)辦人余弦強(qiáng)調(diào)，實(shí)際上Ledger錢包本身沒有影響，受影響的是依賴于Ledger連接器的一些Dapp。

以上就是Ledger CEO公開信：盡力幫助受影響的個(gè)人追回資金的詳細(xì)內(nèi)容，更多關(guān)于Ledger建安全版本已部署、建議等待24小時(shí)再操作的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！