Хакер заставил библиотеку JavaScript воровать из биткоин-кошельков ее пользователей

Библиотеки JavaScript содержат в себе код управления, позволяющий разработчикам не писать элементы программы заново. Некто Right9ctrl получил доступ к популярной библиотеке Event-Stream, которой каждую неделю пользуется примерно 2 млн пользователей, в том числе стартапы и солидные фирмы.

alt Создатель библиотеки Доминик Тарр в августе 2018 передал администраторские полномочия человеку, предложившему свою помощь, так как сам он давно не занимался библиотекой. А в ноябре выяснилось, что библиотека поражена вирусом. Добровольный помощник Right9ctrl переписал её и добавил вредоносный код. Выяснить, что именно делала программа, удалось не сразу. Код никак не проявлял себя, пока пользователи не начали пользоваться электронными кошельками через приложение Copay. Тогда код похищал данные пользователей. Возможно, таким образом злоумышленнику удавалось вывести электронную валюту с поражённых кошельков.

В Copay пользователей срочно призвали скачать обновление приложения, признав уязвимость предыдущей версии.

Смог ли Right9ctrl украсть криптвалюту, пока неясно. Вычислить хакера практически невозможно, как и защитить свои биткоины.