自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

《瑞波币供应链遭入侵:私钥安全面临严重威胁》

2025-04-24 21:30:47
收藏

XRP遭遇重大安全事件:xrpl.js库被植入后门

XRP近期遭遇了一起重大安全事件,涉及广泛用于Ripple相关开发的xrpl.js JavaScript库。这个npm包在软件供应链攻击中遭到破坏,导致私钥泄露,引发了依赖XRP Ledger的开发者及项目的担忧。

事件详情

该问题最初由Aikido Security发现,随后被Ripple首席技术官David Schwartz证实。受影响的是在Node Package Manager(NPM)上发布的特定版本:4.2.1至4.2.4以及2.14.2。Xaman Wallet和XRPScan等流行平台已确认未受影响。Ripple迅速做出响应,发布了修复版本4.2.5和2.14.3,并敦促开发者立即更新。

我们在官方#xrplNPM包中发现了一个后门。该后门会窃取私钥并将其发送给攻击者。受影响的版本为4.2.1至4.2.4,如果您使用的是较早版本,请不要升级。#crypto#malware#npm pic.twitter.com/wshcTFKjbR — Aikido Security (@AikidoSecurity) 2025年4月22日

安全漏洞与批评

安全分析师和过往文档多次指出Ripple在软件包分发方面存在的问题。主要担忧包括Git提交和发布标签缺少PGP签名,以及使用不安全的HTTP协议分发Ubuntu软件包。这些漏洞使得验证代码真实性或审计其来源变得困难。

Ripple Labs将其代码托管在GitHub上,并鼓励开源贡献。然而,由于缺乏安全的签名机制,依赖其工具的项目在软件交付过程中仍然容易受到篡改。

专家观点

比特币开发者Peter Todd在事件发生后发表评论。他在X(原Twitter)上的一篇帖子中强调,自己早在十年前就警告过这些风险。Todd批评Ripple继续忽视对PGP签名和其他安全最佳实践的呼吁,认为如果有更强的代码验证措施,这个问题本可以避免。

https://t.co/5Z3x68KeB5 pic.twitter.com/IkR3sG3pfd — Peter Todd (@peterktodd) 2025年4月23日

官方声明

XRP Ledger基金会发布声明,确认该漏洞仅限于xrpl.js npm包。他们澄清XRP Ledger的核心代码库及其GitHub仓库未受影响。尽管如此,该事件凸显了安全软件实践的重要性,特别是在处理敏感加密密钥的生态系统中。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻