Хакеры атаковали XRP Ledger: уязвимость в JavaScript-библиотеке угрожала кошелькам пользователей

XRP Ledger Foundation сообщила о критической уязвимости в официальной jаvascript-библиотеке xrpl.js, используемой для взаимодействия с блокчейном XRP Ledger. Хакер внедрил бэкдор в несколько версий библиотеки, что позволяло красть приватные ключи и получать доступ к криптовалютным кошелькам. Уязвимость, обнаруженная специалистами Aikido Security 21 апреля, могла привести к «потенциально катастрофической» атаке на экосистему криптовалют. Разработчики оперативно выпустили исправленную версию библиотеки и призвали пользователей немедленно обновиться.

Уязвимость была выявлена исследователем безопасности Aikido Security Чарли Эриксеном 21 апреля в 20:53 UTC, когда система мониторинга Aikido Intel зафиксировала выпуск пяти новых версий пакета xrpl.js (v4.2.1–4.2.4 и v2.14.2) через менеджер пакетов NPM. Пакеты, опубликованные пользователем под псевдонимом «mukulljangid», не соответствовали официальным релизам в репозитории GitHub, что вызвало подозрения. Анализ показал, что в коде содержится бэкдор, замаскированный под функцию checkValidityOfSeed, которая передавала приватные ключи на подконтрольный злоумышленнику домен 0x9c[.]xyz при создании кошелька.

Эриксен отметил, что хакер активно совершенствовал атаку: в версиях 4.2.1 и 4.2.2 вредоносный код был внедрен в скомпилированные jаvascript-файлы, а в версиях 4.2.3 и 4.2.4 — непосредственно в исходный TypeScript-код, что затрудняло обнаружение.

По данным Aikido Security, пакет xrpl.js еженедельно скачивают более 140 тысяч раз, что делает его критически важным компонентом для сотен тысяч приложений и сайтов.

XRP Ledger Foundation оперативно отреагировала на угрозу, выпустив 22 апреля обновленную версию библиотеки — xrpl.js 4.2.5, которая устраняет уязвимость. Все скомпрометированные версии (4.2.1–4.2.4 и 2.14.2) были удалены из NPM, а их поддержка официально прекращена. Фонд призвал разработчиков немедленно обновить библиотеки и перевести активы в новые кошельки, созданные с использованием безопасного ПО. В заявлении на платформе X фонд уточнил, что уязвимость не затронула кодовую базу блокчейна XRP Ledger или его репозиторий на GitHub.

Фонд также пообещал опубликовать подробный отчет об инциденте после завершения расследования. По предварительным данным, атака была ограничена узким временным окном, а общее число загрузок скомпрометированных версий составило 452: 57 для v4.2.1, 106 для v4.2.2, 69 для v4.2.3, 41 для v2.14.2 и 179 для v4.2.4.

Несмотря на потенциальную опасность, ряд крупных проектов экосистемы XRP Ledger, включая Xaman Wallet, XRPScan, First Ledger и Gen3 Games, подтвердили, что не пострадали от атаки, так как использовали более ранние версии библиотеки. Технический директор Gen3 Games Марк Ибанез отметил, что его команда избежала угрозы благодаря фиксации версий в файле pnpm-lock.yaml, что предотвратило автоматическое обновление до скомпрометированных пакетов. Он рекомендовал разработчикам избегать символа «^» в файле package.json, чтобы исключить нежелательные обновления.

Aikido Security призвала пользователей проверить сетевые логи на предмет соединений с доменом 0x9c[.]xyz и немедленно заменить потенциально скомпрометированные ключи или сид-фразы. Компания также предложила подписку на свою систему мониторинга Aikido Intel для защиты от подобных угроз. Эксперты подчеркивают, что инцидент представляет собой атаку на цепочку поставок (supply chain attack), которая могла затронуть широкий круг приложений, использующих xrpl.js.

Удивительно, но новость о уязвимости не вызвала паники на рынке. Цена XRP, нативного токена сети, выросла на 8,3% за сутки, достигнув $2,25 к концу торгов 22 апреля, согласно CoinGecko. Рыночная капитализация XRP превысила $125 млрд, а полностью разводненная оценка составила около $215 млрд. Аналитики связывают рост с общим ралли криптовалютного рынка и позитивными новостями, такими как интерес институциональных инвесторов и заявки на XRP-ETF в США.

XRP Ledger, запущенный в 2012 году, остается одной из старейших блокчейн-платформ, ориентированных на платежи и децентрализованные финансы (DeFi). Недавний рост интереса к сети связан с улучшением регуляторной среды в США после избрания крипто-friendly президента Дональда Трампа, что привело к взлету цены XRP на 300% с ноября 2024 года.

Инцидент подчеркивает уязвимость программного обеспечения с открытым исходным кодом, особенно в криптовалютной экосистеме. Атаки на цепочку поставок становятся все более распространенными: в марте 2025 года хакеры безуспешно пытались скомпрометировать Coinbase через GitHub, а группа Lazarus из Северной Кореи активно атакует разработчиков через NPM-репозитории. По данным Chainalysis, в 2024 году компрометация приватных ключей составила 43,8% всех краж криптовалют.

Для предотвращения подобных угроз эксперты рекомендуют регулярные аудиты сторонних библиотек, использование архитектуры Zero Trust, фиксацию версий зависимостей и внедрение блокчейн-технологий для отслеживания изменений в коде.

Обнаружение бэкдора в xrpl.js стало серьезным испытанием для XRP Ledger, но быстрая реакция разработчиков и Aikido Security предотвратила крупномасштабные последствия. Уязвимость, затронувшая ограниченное число загрузок, напомнила криптосообществу о важности бдительности в отношении стороннего ПО. Пока XRP демонстрирует устойчивость на рынке, инцидент подчеркивает необходимость усиления мер безопасности для защиты пользователей и сохранения доверия к блокчейн-технологиям.