تراست ولت سرقت ۸.۵ میلیون دلاری ارز دیجیتال را به حمله NPM شای-هولود مرتبط می‌داند

کیف پول دیجیتال تراست والت (Trust Wallet) با بیش از ۲۰۰ میلیون کاربر اعلام کرد که نفوذ به افزونه مرورگر وب این شرکت که منجر به سرقت حدود ۸.۵ میلیون دلار از بیش از ۲۵۰۰ کیف پول کریپتو شد، احتمالاً مرتبط با حمله گسترده Sha1-Hulud در نوامبر است که کل صنعت را هدف قرار داد. مهاجمان پس از دسترسی به اسرار توسعه‌دهندگان گیت‌هاب و کلید API فروشگاه کروم، یک فایل جاوااسکریپت مخرب به نسخه ۲.۶۸.۰ افزونه کروم تراست والت اضافه کردند که داده‌های حساس کیف پول را سرقت و تراکنش‌های غیرمجاز را امکان‌پذیر کرد.

مهاجمان با استفاده از کلید API نشت‌یافته، نسخه آلوده را مستقیماً در فروشگاه کروم منتشر کردند و فرآیندهای تأیید داخلی شرکت را دور زدند. تراست والت در واکنش به این حادثه، تمام APIهای انتشار را لغو کرد و دامنه‌های مخرب را به ثبت‌کننده NiceNIC گزارش داد که فوراً آنها را تعلیق کرد. این حمله بخشی از کمپین بدافزار Sha1-Hulud است که در نوامبر بیش از ۸۰۰ بسته npm را آلوده کرد و حدود ۴۰۰ هزار اطلاعات محرمانه توسعه‌دهندگان را در بیش از ۳۰ هزار مخزن گیت‌هاب منتشر کرد، که بیش از ۶۰ درصد توکن‌های نشت‌یافته NPM تا اول دسامبر همچنان معتبر بودند.