Атака севнокорейского разработчика на репозитории Waves: украденные учетные данные и угрозы безопасности криптовалютных кошельков

Стейблкоины

В современном мире криптовалют вопросы безопасности становятся все более актуальными. Сложность проектов, обилие ключевых компонентов и массовое использование открытого программного обеспечения повышают риски атак злоумышленников. Недавний инцидент вокруг криптоплатформы Waves стал ярким примером таких вызовов. Сообщается, что разработчик, связанный с Северной Кореей, получил привилегии в ряде давно неактивных репозиториев Waves Protocol, а затем внедрил в обновления криптовалютного кошелька Keeper Wallet код для кражи учетных данных пользователей, включая seed-фразы и приватные ключи. Этот случай является тревожным предупреждением для всех участников сектора децентрализованных финансов и блокчейн-разработок.

Waves Protocol — это открытый блокчейн, предназначенный для создания и поддержки децентрализованных приложений и решений. Keeper Wallet — один из основных продуктов экосистемы Waves, обеспечивающий хранение цифровых активов и взаимодействие пользователей с сетью. Обнаруженная уязвимость позволила злоумышленнику получить контроль над репозиториями, которые долгое время не обновлялись, что значительно снизило подозрительность внешних наблюдателей и обеспечило возможность незаметного внесения изменений. Выяснилось, что аккаунт с ником «AhegaoXXX», связанный с группами северокорейских IT‑контракторов, получил права на внесение изменений, выпуск новых версий библиотек и публикацию пакетов в хранилище Node Package Manager (NPM). Это дало злоумышленникам практически полный контроль над процессом разработки и распространения программного обеспечения.

Особенно опасным считается тот факт, что часть кода была перенесена из основного пространства имен Waves Protocol в репозиторий Keeper Wallet. Это указывает на возможное участие инсайдера, который не только предоставил доступ, но и помог скрытно переместить вредоносный функционал в клиентские приложения. Среди изменений был найден код, обеспечивающий экспорт логов и ошибок работы кошелька на внешние серверы. Однако главная угроза — это механизм захвата и передачи секретных данных, таких как мнемонические фразы и приватные ключи, которые являются единственным способом восстановления доступа к криптокошельку. Если эта информация попадет в руки злоумышленников, то потери средств пользователей станут практически неизбежными.

Фактически мы можем говорить о складной цепочке атаки, включающей внедрение вредоносного кода в доверенное программное обеспечение (атака на цепочку поставок). Такие инциденты очень опасны, так как они эксплуатируют репутацию разработчиков и распространение обновлений, которым пользователи привыкли доверять. Стоит отметить, что активность взломщика проявилась после длительного периода бездействия в репозиториях Waves — сначала они не получали обновлений с августа 2023 года, а изменения начали появляться весной 2025 года, что позволяет предположить подготовительный этап атаки. Помимо технических аспектов, расследование выявило важные организационные уязвимости. Использование устаревших учетных данных и неизменных прав доступа позволило злоумышленнику использовать аккаунт бывшего инженера Waves, что иллюстрирует необходимость регулярного аудита прав доступа и удаления неактивных членов из команд разработчиков.

Для защиты от подобных угроз специалисты рекомендуют усилить меры контроля в рабочем процессе: тщательное отслеживание всех обновлений и действий с репозиториями, введение многофакторной аутентификации и ограничение числа людей с правами публикации релизов. Мониторинг перенаправлений для npm и других систем распространения пакетов поможет выявлять подозрительные активности и вовремя реагировать на попытки несанкционированных изменений. С точки зрения конечных пользователей, крайне важно помнить о рисках инсталляции обновлений из сомнительных источников или для давно заброшенных программных продуктов. Необходимо проверять подлинность обновлений, следить за новостями по безопасности используемых кошельков и применять рекомендации по хранению ключей в офлайн-режиме или аппаратных устройствах. Учитывая получение злоумышленником доступа к обновлениям Keeper Wallet и выпуска вредоносных пакетов, владельцы криптовалют должны проявлять повышенную бдительность и использовать только официальные версии программного обеспечения.

Инцидент с Waves Protocol демонстрирует растущую сложность и опасности, связанные с безопасностью в экосистеме блокчейн. Поскольку криптовалютные активы все шире внедряются в повседневную жизнь, уязвимости в инфраструктуре приводят к серьезным финансовым потерям и подрывают доверие пользователей. Это заставляет разработчиков, компании и сообщества уделять еще больше внимания защите цепочек поставок, контролю за доступом и регулярным аудитам. В чём заключается урок, вынесенный из данного случая? Технологии децентрализации — лишь часть решения. Без организационных мер и комплексного подхода к безопасности проекты, даже с открытым исходным кодом и большим сообществом, остаются уязвимыми.

Новый уровень угроз требует сотрудничества между разработчиками, исследователями безопасности и пользователями для своевременного обнаружения и нейтрализации подобных атак. В заключение, ситуация вокруг взлома репозиториев Waves и последующей попытки кражи учетных данных через обновления Keeper Wallet служит наглядным примером современных угроз в криптоиндустрии. Внимательное отношение к безопасности, своевременные обновления политики доступа и использование надежных методов защиты помогут минимизировать риски. В быстро меняющемся и технологически сложном мире блокчейн важно не только разрабатывать инновационные продукты, но и постоянно поддерживать их безопасность, чтобы защитить активы и доверие миллионов пользователей по всему миру.