Tedarik zinciri saldırısı

Hata yaptığınız bir an yoktur; bu kategoriye karşı savunmayı zorlaştıran da budur. Kasım 2018'de, yaygın kullanılan event-stream adlı npm paketi, doğrudan tek bir Bitcoin cüzdanını, Copay cüzdanını ve özellikle 100 BTC'den fazlasını kontrol eden kurtarma ifadelerini hedefleyen kod ekleyen gönüllü bir bakımcıya devredildi. Doğrudan satın almak ve yüklediğiniz şeyi doğrulamak, gerçekten yardımcı olan iki alışkanlıktır.

Nasıl çalışır

Tedarik zinciri saldırısı, kötü niyetli kodu veya donanımı kurbanın üst akışına, güvenin zaten verilmiş olduğu bir noktaya sokar.

Bağımlılık. Modern cüzdan yazılımı yüzlerce üçüncü taraf paketi içeri alır. event-stream olayında özgün yazar, onu sürdürmekten yorulmuş ve yayımlama haklarını gönüllü olan bir yabancıya devretmişti. Yeni bakımcı, zararsız görünen bir bağımlılık ekledi, ardından yükü yalnızca BitPay şirketinin Copay cüzdanının derlemelerinde etkinleşen, kurtarma ifadesini çözüp dışarı gönderen bir sürüm yayımladı. Copay cüzdanının 5.0.2 ile 5.1.0 arasındaki sürümleri onunla birlikte dağıtıldı.

Dağıtım kanalı. 14 Aralık 2023 tarihinde, Ledger şirketinin eski bir çalışanının npm hesabı oltalamaya (phishing) maruz kaldı ve Ledger Connect Kit kütüphanesinin kötü niyetli sürümlerini yayımlamak için kullanıldı. Birkaç saat boyunca, onu bir içerik dağıtım ağından yükleyen uygulamalar kullanıcılara transferleri yönlendiren bir cüzdan boşaltıcı sundu. Yaklaşık 600.000 dolar, tanıdık bir siteyi açmış ve olağan dışı hiçbir şeye tıklamamış kişilerden alındı.

Donanım. Pazar yeri ilanları ve üçüncü taraf satıcılar aracılığıyla satılan sahte veya kurtarma ifadesi önceden yüklenmiş cihazlar. İşaret basit ve kesindir: gerçek bir donanım cüzdanı kurtarma kelimelerini kurulum sırasında, cihazın kendi üzerinde, bir kez üretir. Kelimeleri bir karta önceden basılmış olarak gelen ya da kutuda verilen bir ifadenin girilmesi yönünde talimat içeren her şey, iyi ambalajlanmış bir hırsızlık kitidir.

Derleme. Buradaki savunma yeniden üretilebilirliktir. Bitcoin Core, Eylül 2021 tarihindeki 22.0 sürümünden beri sıfırdan derlenebilir ve belirlenimci derlemeler için Guix kullanır; böylece bağımsız katkıda bulunanlar sürümü kaynak koddan derler ve sonucu imzalar. Onların tasdikleri örtüşürse, indirme sayfasındaki ikili dosya yayımlanan kaynak kodun ürettiği dosyadır ve ele geçirilmiş bir derleme makinesi saklanamaz.

Nerede karşılaşırsınız

Normal bir Bitcoin kurulumundaki dört yer, başka birinin güven kararının alt akışında yer alır.

Yazılım indirmeleri. Kurulum dosyalarını kendi gittiğiniz bir sayfadan alın, ardından sürüm imzasını ya da en azından hash değerini projenin kendi imzalama anahtarlarıyla kontrol edin. Cüzdan projeleri her ikisini de tam olarak bu adım mümkün olsun diye yayımlar.

Tarayıcı uzantıları. Uzantılar kendilerini sessizce günceller ve sahipliklerini sessizce değiştirir; bu yüzden anahtarlara veya adreslere dokunan bir uzantı, imzasız bir çalıştırılabilir dosyaya göstereceğiniz kuşkuyu hak eder.

Donanım alımları. Üreticinin kendi mağazasından veya adı belirtilmiş yetkili bir satıcıdan satın alın; asla bir pazar yeri ilanından, açık artırmadan veya ikinci el satıcıdan değil. Bu sitedeki donanım cüzdanı incelemeleri tam da bu nedenle her cihaz için resmi mağazaya bağlantı verir.

Aygıt yazılımı ve güncellemeler. Güncellemeyi, sizin başlattığınız, üreticinin kendi uygulaması üzerinden yapın; asla cihazınızın risk altında olduğunu söyleyen bir e-postadaki veya açılır penceredeki bağlantıdan değil.

Dördünün arkasında, biri başarısız olduğunda zararı sınırlayan kontrol durur: onaylamadan önce hedef adresi ve tutarı donanım cüzdanının kendi ekranında doğrulayın. Ele geçirilmiş bir bilgisayar gösterdiği her şeyi yeniden yazabilir, ancak ayrı bir cihazın size gösterdiğini yeniden yazamaz.

Tedarik zinciri saldırısı vs pano kötü amaçlı yazılımı

Pano kötü amaçlı yazılımı bir yüktür; tedarik zinciri saldırısı bir teslimat yoludur ve ikisi sanki alternatifmiş gibi adlandırılır. Adres değiştiren kötü amaçlı yazılım genellikle bir şey yanlış yerden indirildiği için gelir, bu yüzden kaynaklara ilişkin olağan dikkat ona karşı işe yarar. Tedarik zinciri saldırısı ise tam olarak doğru yerden indirilen bir şeyin içinde gelir, bu yüzden kaynaklara ilişkin dikkat işe yaramaz. İkisini de aynı alışkanlık yener; bu yüzden bu alışkanlık, belirli bir kod parçasının nereden geldiğini bilmekten daha önemlidir: adresi imzalamayı isteyen ekranda değil, imzalayan cihazda doğrulayın.