Атака на цепочку поставок

Нет момента, когда вы совершаете ошибку, и именно поэтому от этой категории трудно защититься. В ноябре 2018 года широко используемый пакет npm под названием event-stream был передан добровольному сопровождающему, который добавил код, нацеленный прямо на один кошелек для биткоина, Copay, и конкретно на сид-фразы, управляющие более чем 100 биткоинами. Покупка напрямую и проверка того, что вы устанавливаете, являются двумя привычками, которые действительно помогают.

Как это работает

Атака на цепочку поставок вставляет враждебный код или оборудование выше по цепочке от жертвы, в точке, где доверие уже выдано.

Зависимость. Современное программное обеспечение кошельков подтягивает сотни сторонних пакетов. В случае event-stream первоначальный автор, уставший его поддерживать, передал права на публикацию незнакомцу, который предложил свою помощь. Новый сопровождающий добавил безобидную на вид зависимость, а затем опубликовал версию, полезная нагрузка которой активировалась только внутри сборок кошелька Copay от BitPay, расшифровывала сид-фразу и отправляла ее наружу. Релизы Copay с 5.0.2 по 5.1.0 поставлялись вместе с ней.

Канал распространения. 14 декабря 2023 года аккаунт npm бывшего сотрудника Ledger был взломан через фишинг и использован для публикации вредоносных версий библиотеки Connect Kit от Ledger. В течение нескольких часов приложения, загружавшие ее из сети доставки контента, показывали пользователям программу для опустошения кошелька, которая перенаправляла переводы. Примерно 600 000 $ было похищено у людей, которые открыли знакомый сайт и не нажимали ничего необычного.

Оборудование. Поддельные или устройства с заранее заданной сид-фразой, продаваемые через объявления на торговых площадках и сторонних перепродавцов. Признак прост и однозначен: подлинный аппаратный кошелек создает слова восстановления на самом устройстве, при настройке, один раз. Все, что приходит со словами, уже напечатанными на карточке, или с инструкцией ввести фразу, вложенную в коробку, представляет собой набор для кражи в хорошей упаковке.

Сборка. Защита здесь состоит в воспроизводимости. Bitcoin Core использует Guix для самодостаточных, детерминированных сборок начиная с версии 22.0 в сентябре 2021 года, поэтому независимые участники собирают релиз из исходного кода и подписывают результат. Если их подтверждения совпадают, то двоичный файл на странице загрузки является тем, что создает опубликованный исходный код, и скомпрометированная сборочная машина не может этого скрыть.

Где это встречается

Четыре места в обычной настройке биткоина находятся ниже по цепочке от чужого решения о доверии.

Загрузка программ. Берите установщики со страницы, на которую вы перешли сами, затем проверьте подпись релиза или хотя бы хеш по собственным ключам подписи проекта. Проекты кошельков публикуют и то, и другое именно для того, чтобы этот шаг был возможен.

Расширения браузера. Расширения обновляются сами без предупреждения и тихо меняют владельца, поэтому расширение, которое имеет доступ к ключам или адресам, заслуживает такого же недоверия, как неподписанный исполняемый файл.

Покупка оборудования. Покупайте в собственном магазине производителя или у названного имеющего разрешение перепродавца, никогда через объявление на торговой площадке, на аукционе или у продавца с рук. Обзоры аппаратных кошельков на этом сайте ссылаются на официальный магазин каждого устройства именно по этой причине.

Прошивка и обновления. Обновляйтесь через собственное приложение производителя, запущенное вами, и никогда по ссылке в письме или всплывающем окне, утверждающем, что ваше устройство под угрозой.

За всеми четырьмя стоит контроль, который ограничивает ущерб, когда один из них подводит: подтвердите адрес получателя и сумму на собственном экране аппаратного кошелька перед одобрением. Скомпрометированный компьютер может переписать все, что показывает, но он не может переписать то, что показывает вам отдельное устройство.

Атака на цепочку поставок vs вредоносное ПО для буфера обмена

Вредоносное ПО для буфера обмена является полезной нагрузкой; атака на цепочку поставок является маршрутом доставки, а их называют так, будто они являются альтернативами. Вредоносное ПО, подменяющее адреса, обычно приходит потому, что что-то было загружено не оттуда, поэтому обычная осторожность в отношении источников работает против него. Атака на цепочку поставок приходит внутри того, что было загружено именно оттуда, куда нужно, поэтому осторожность в отношении источников не помогает. Против обоих помогает одна и та же привычка, и поэтому она важнее знания того, откуда взялся любой данный фрагмент кода: проверяйте адрес на подписывающем устройстве, а не на экране, который попросил вас подписать.