PDG de Ledger à propos d'un incident de piratage : « La menace est passée »
À la lumière du récent Ledger Hacking, le président-directeur général du protocole de finance décentralisée (DeFi), Pascal Gauthier, a publié une nouvelle mise à jour.
Le piratage du grand livre reconnu et expliqué
Il a commencé par reconnaître l’exploit récent qui impliquait l’injection de code malveillant dans la bibliothèque Javascript. Cela concernait principalement les versions supérieures à 1.1.4, c’est-à-dire les versions 1.1.5, 1.1.6 et 1.1.7. En outre, il a expliqué que le piratage était le résultat d’une faille exploitée par le mauvais acteur.
Un ancien employé a été victime d’une attaque de phishing qui a finalement permis à un acteur malveillant d’accéder au téléchargement d’un fichier malveillant sur le NPMJS de Ledger. Ce NPMJS est un gestionnaire de packages pour le code Javascript partagé entre les applications. Ledger est immédiatement passé à l’action pour sauver la situation avec le soutien de WalletConnect, son partenaire. Immédiatement, le NPMJS a été supprimé et le fichier malveillant a été immédiatement désactivé.
Tout cela s’est produit dans les quarante minutes suivant la découverte de l’exploit. Gauthier a souligné l’alliance comme une bonne référence de l’industrie travaillant ensemble rapidement pour relever les défis de sécurité qui minent l’écosystème.
La peur des pirates informatiques est terminée
Habituellement, aucune personne n’a le pouvoir exclusif de déployer des codes sur le ConnectKit de Ledger, car elle exigerait que d’autres parties examinent la transaction. Par la même occasion, Gauthier a précisé que tout employé qui quitte l’entreprise à tout moment et pour quelque raison que ce soit, voit toujours son accès aux systèmes Ledger immédiatement révoqué.
Avant de quitter l’entreprise, les employés ont accès aux contrôles, aux révisions internes et au code multi-signature, en particulier, car cela concerne la plupart des parties du développement de Ledger. Cela prévaut dans 90% du développement de l’entreprise. Gauthier a suggéré que le protocole DeFi avait déjà intégré des stratégies de sécurité pour protéger les investisseurs.
Cependant, la dernière attaque est une preuve claire et rappelle que la sécurité n’est pas statique. Par conséquent, « Ledger doit continuellement améliorer nos systèmes et processus de sécurité. Dans ce domaine, Ledger mettra en œuvre des contrôles de sécurité plus stricts, en connectant notre pipeline de build qui met en œuvre une sécurité stricte de la chaîne d’approvisionnement logicielle au canal de distribution NPM.
Une nouvelle version du Ledger Connect Kit a été introduite et il est conseillé aux utilisateurs qui ont l’intention de continuer à utiliser l’outil de passer à cette version. Une fois la version 1.1.8 du Ledger Connect Kit installée, les utilisateurs devront peut-être attendre jusqu’à 24 heures avant de l’activer. Pour l’instant, tout se passe bien et Gauthier a assuré aux utilisateurs que la situation est désormais sous contrôle et que « la menace est passée ».
Le poste PDG de Ledger sur l’incident de piratage, « La menace est passée » apparaît en premier sur CoinGape.
