主要なNPM開発者であるqixのアカウントが侵害されました。このアカウントは、ユーザーのデバイス上のビットコインや暗号資産ウォレットを標的にして検索するマルウェアを配布するために使用されました。検出された場合、このマルウェアはトランザクション署名を調整するために使用されるコード機能にパッチを当て、ユーザーが送金しようとしているアドレスをマルウェア作成者自身のアドレスに置き換えます。
これは主にウェブウォレットユーザー、つまりビットコインエコシステムのOrdinalsやRunes/その他のトークンユーザーにとって懸念事項です。通常のソフトウェアウォレットのアップデートが今日侵害された依存関係でプッシュされた場合や、ウォレットがアプリストアをバイパスしてウォレットのバックエンドから直接コードを動的にロードする場合を除いて、問題はないはずです。
NPMはNode.jsのパッケージマネージャーで、Node.jsは人気のあるJavascriptフレームワークです。これは、開発者が基本的な機能を自分で書き直す必要なく、さまざまなプログラムに統合するための一般的な機能に使用される大規模な事前に書かれたコードセットを取得するために使用されます。
標的となったパッケージは暗号資産に特化したものではなく、Node.jsで構築された無数の通常のアプリケーションで使用されるパッケージであり、暗号資産ウォレットだけではありません。
ハードウェアウォレットとウェブウォレットを組み合わせて使用している場合は、何かに署名する前に、デバイス自体で送信先アドレスが正しいことを確認するよう特に注意してください。
ウェブウォレット自体でソフトウェアキーを使用している場合は、脆弱なバージョンのウォレットを実行していないことが確実になるまで、それらを開いたり取引したりしないことをお勧めします。最も安全な行動は、使用しているウォレットを開発しているチームからの発表を待つことです。
出典: https://bitcoinmagazine.com/news/npm-attack-javascript-library-compromise-goes-after-bitcoin-wallets
