Una nueva versión del paquete xrpl.js —biblioteca JavaScript fundamental para interacciones con el XRP Ledger— generó una seria alerta de seguridad. La Fundación XRP Ledger identificó una vulnerabilidad crítica que puede comprometer la integridad de la cadena de suministro de la criptomoneda.
Charlie Eriksen, investigador de malware de Aikido Security, descubrió la falla. Eriksen alertó sobre la presencia de una puerta trasera insertada en el kit de desarrollo de software utilizado por miles de aplicaciones.
Impacto significativo en bibliotecas JavaScript
De acuerdo con la divulgación oficial, las versiones comprometidas del paquete son v4.2.1 a v4.2.4 y v2.14.2, que contienen una fragilidad capaz de permitir que atacantes roben claves privadas y accedan a carteras de usuarios sin autorización.
La amenaza no afecta el código base del XRP Ledger ni su repositorio en GitHub. Sin embargo, el impacto sobre servicios que dependen de estas bibliotecas JavaScript comprometidas puede ser significativo.
El 21 de abril, a las 20:53 GMT+0, nuestro sistema, Aikido Intel, nos alertó sobre cinco nuevas versiones del paquete xrpl. Se trata del SDK oficial del XRP Ledger, con más de 140.000 descargas semanales. Confirmamos rápidamente que el paquete oficial XPRL (Ripple) NPM fue comprometido por atacantes sofisticados que implementaron una puerta trasera para robar claves privadas de criptomonedas y obtener acceso a carteras de criptomonedas, reveló Charlie Eriksen, investigador de malware en Aikido Security.
Paquetes maliciosos. Fuente: Aikido
La Fundación XRP Ledger pidió a todos los desarrolladores y usuarios que interactúan con el paquete xrpl.js que actualicen inmediatamente a la versión v4.2.5, con el fin de mitigar el riesgo. Esta medida es esencial para evitar que terceros accedan de forma no autorizada a los fondos almacenados en carteras expuestas por las versiones comprometidas.
El problema fue detectado en el Node Package Manager (NPM), una plataforma fundamental para compartir y gestionar paquetes de código JavaScript. Esta situación aumenta la preocupación sobre la magnitud del posible ataque.
Advertencia crítica para cualquier persona que use XRPL.js a partir del NPM, alertó el CTO de Ripple, David Schwartz.
Con más de 140 mil descargas semanales, los desarrolladores utilizan xrpl.js en una variedad de aplicaciones dentro del ecosistema XRP. Este hecho lo convierte en un objetivo atractivo para ciberdelincuentes.
¿Cómo proteger tus tokens XRP?
Xaman Wallet y XRPScan confirmaron que la falla de seguridad no impactó sus servicios, a pesar de la gravedad de la situación.
Evita utilizar cualquier servicio que tenga acceso a tu clave/semilla privada hasta que hayan confirmado que no están afectados (muchos de ellos, como @XamanWallet, @First_Ledger y @Gen3Games, ya han confirmado aquí), destacó Mayukha Vadari, Senior Software Engineer en RippleX.
Sin embargo, se recomienda que todos los usuarios que manejan XRP y otras criptomonedas en plataformas que utilizan xrpl.js asuman que cualquier clave privada procesada con las versiones comprometidas puede haber sido vulnerada. En resumen, algunas recomendaciones importantes son:
1 – Actualizar las bibliotecas: Es crucial que todos los desarrolladores actualicen xrpl.js a la versión v4.2.5. Esta actualización corrige la vulnerabilidad y elimina el código malicioso que se había infiltrado en las versiones anteriores.
2 – Monitorear las carteras: Si has utilizado alguna de las versiones afectadas, cambia inmediatamente las claves privadas de tus carteras y transfiere tus fondos a nuevas direcciones. No confíes en claves procesadas con el código comprometido.
3 – Revisar aplicaciones y servicios: Asegúrate de que las plataformas que utilizas para gestionar XRP o interactuar con el XRP Ledger no estén basadas en versiones vulnerables de xrpl.js. Si tienes dudas, contacta con el soporte técnico para obtener confirmación sobre el estado de seguridad.
El paquete xrpl en NPM. Fuente: Aikido
El artículo Ripple alerta sobre falla crítica que puede comprometer tokens fue visto por primera vez en BeInCrypto Brasil.