XRP Ledgerとのインタラクションのための重要なJavaScriptライブラリであるxrpl.jsパッケージの新しいバージョンが、重大なセキュリティ警告を引き起こしました。XRP Ledger財団は、暗号通貨のサプライチェーンの完全性を危うくする可能性のある重大な脆弱性を特定しました。

Aikido Securityのマルウェア研究者チャーリー・エリクセンは、脆弱性を発見しました。エリクセンは、何千ものアプリケーションで使用されるソフトウェア開発キットに挿入されたバックドアの存在について警告しました。

JavaScriptライブラリに対する重大な影響

公式発表によると、侵害されたパッケージのバージョンはv4.2.1からv4.2.4およびv2.14.2で、攻撃者がプライベートキーを盗み、ユーザーのウォレットに無断でアクセスできる脆弱性を含んでいます。

この脅威はXRP LedgerのコードベースやGitHubのリポジトリには影響しません。ただし、これらの侵害されたJavaScriptライブラリに依存するサービスへの影響は重大である可能性があります。

4月21日20:53 GMT+0、私たちのシステムAikido Intelは、xrplパッケージの5つの新しいバージョンについて警告しました。これは、週に14万回以上ダウンロードされるXRP Ledgerの公式SDKです。私たちはすぐに、公式のXPRL（Ripple）NPMパッケージが、暗号通貨のプライベートキーを盗み、暗号通貨ウォレットにアクセスするためのバックドアを実装した高度な攻撃者によって侵害されたことを確認しました、とAikido Securityのマルウェア研究者チャーリー・エリクセンは明らかにしました。

悪意のあるパッケージ。出典：Aikido

XRP Ledger財団は、xrpl.jsパッケージとインタラクトするすべての開発者およびユーザーに対し、リスクを軽減するために直ちにv4.2.5に更新するよう求めました。この措置は、侵害されたバージョンによって露出されたウォレットに保管された資金に対する第三者の無断アクセスを防ぐために不可欠です。

この問題は、JavaScriptコードのパッケージを共有および管理するための基盤となるプラットフォームであるNode Package Manager（NPM）で検出されました。この状況は、可能な攻撃の規模に関する懸念を高めます。

NPMからXRPL.jsを使用するすべての人への重要な警告、RippleのCTOデビッド・シュワルツが警告しました。

週に14万回以上のダウンロードがあり、開発者はXRPエコシステム内のさまざまなアプリケーションでxrpl.jsを使用しています。この事実は、サイバー犯罪者にとって魅力的な標的となります。

あなたのXRPトークンをどのように保護しますか？

Xaman WalletとXRPScanは、状況の深刻さにもかかわらず、セキュリティの脆弱性がサービスに影響を与えなかったことを確認しました。

影響を受けていないことが確認されるまで、あなたのプライベートキー/シードにアクセスできるサービスを使用しないでください（@XamanWallet、@First_Ledger、@Gen3Gamesなど、多くのサービスがここで確認済みです）、とRippleXのシニアソフトウェアエンジニアであるマユカ・ヴァダリが強調しました。

ただし、xrpl.jsを使用するプラットフォームでXRPや他の暗号通貨を扱うすべてのユーザーは、侵害されたバージョンで処理されたプライベートキーが漏洩している可能性があることを前提とすることが推奨されています。要約すると、いくつかの重要な推奨事項は次のとおりです：

1 – ライブラリを更新する：すべての開発者がxrpl.jsをv4.2.5に更新することが重要です。この更新は脆弱性を修正し、以前のバージョンに侵入した悪意のあるコードを排除します。

2 – ウォレットを監視する：影響を受けたバージョンを使用した場合は、すぐにウォレットのプライベートキーを変更し、資金を新しいアドレスに移してください。侵害されたコードで処理されたキーを信頼しないでください。

3 – アプリケーションとサービスをレビューする：XRPを管理したりXRP Ledgerとインタラクトしたりするために使用するプラットフォームが、侵害されたバージョンのxrpl.jsに基づいていないことを確認してください。疑問がある場合は、サポートに連絡してセキュリティのステータスを確認してください。

NPMのxrplパッケージ。出典：Aikido

Rippleは、トークンを危うくする可能性のある重大な脆弱性に警告しています。これは最初にBeInCrypto Brasilで目にしました。