Un faux développeur insère un code malveillant dans le portefeuille Copay de BitPay

Le portefeuille Copay du processeur de paiement Bitcoin basé aux États-Unis BitPay a été compromis par un pirate informatique, a déclaré la société.

BitpayannoncéLundi, le problème a été découvert grâce à un rapport GitHub de Copay https://github.com/bitpay/copay/issues/9346 indiquant qu'une bibliothèque JavaScript tierce utilisée par les applications avait été modifiée pour charger du code malveillant.

Le logiciel malveillant a été déployé sur les versions 5.0.2 à 5.1.0 de ses applications de portefeuille Copay et BitPay, et pourrait potentiellement être utilisé pour capturer des clés privées afin de voler des Bitcoin et des Bitcoin Cash.

BitPay a déclaré :

Cependant, l'application BitPay n'était pas vulnérable au code malveillant. Nous cherchons toujours à savoir si cette vulnérabilité a été exploitée contre les utilisateurs de Copay.

L'entreprise demande aux utilisateurs de ne pas exécuter ou ouvrir le portefeuille Copay s'ils utilisent les versions 5.0.2 à 5.1.0. Elle a maintenant publié une version mise à jour (5.2.0) sans le code malveillant pour tous les utilisateurs des portefeuilles Copay et BitPay qui sera disponible dans les magasins d'applications « momentanément ».

BitPay a souligné : « Les utilisateurs doivent supposer que les clés privées des portefeuilles concernés peuvent avoir été compromises, ils doivent donc transférer des fonds vers de nouveaux portefeuilles (v5.2.0) immédiatement. »

Bitpay a également conseillé aux utilisateurs de ne pas déplacer de fonds vers de nouveaux portefeuilles en important leurs phrases de sauvegarde de 12 mots, car elles correspondent à des « clés privées potentiellement compromises ».

« Les utilisateurs doivent d'abord mettre à jour leurs portefeuilles concernés (5.0.2-5.1.0), puis envoyer tous les fonds des portefeuilles concernés vers un tout nouveau portefeuille sur la version 5.2.0, en utilisant la fonction Send Max pour initier les transactions de tous les fonds », a-t-il expliqué.

L'attaque semble avoir été menée par un prétendu développeur appelé Right9ctrl qui a repris la maintenance de la bibliothèque NodeJS de son auteur qui n'avait plus de temps pour le travail, ZDNetrapports.  L'attaque d'ingénierie sociale s'est produite il y a environ trois mois lorsque Right9ctrl a obtenu l'accès au référentiel, moment auquel ils ont injecté le logiciel malveillant.

Jackson Palmer, le créateur de la Cryptomonnaie Dogecoin , tweetéEn réponse à cette nouvelle : « C'est ONEun des problèmes majeurs des portefeuilles de Cryptomonnaie basés sur JavaScript, avec de fortes dépendances en amont provenant de NPM. BitPay a essentiellement fait confiance à tous les développeurs en amont pour ne jamais injecter de code malveillant dans son portefeuille. »

Codeimage via Shutterstock