Atak na open source i ruch Deloitte
Ciąg ataków na pakiety open source i jednoczesne wyhamowanie Blocknative pokazują, jak krucha bywa dziś infrastruktura kryptowalutowa.
Dwie różne wiadomości, jeden wspólny wniosek
Świat kryptowalut i szerzej rozumianej infrastruktury cyfrowej znów przypomniał, jak ważne są bezpieczeństwo łańcucha dostaw software’u oraz stabilność projektów budujących zaplecze całego ekosystemu. Z jednej strony pojawiła się informacja o szeroko zakrojonym ataku na pakiety open source, z drugiej o wygaszaniu działalności przez Blocknative i przejęciu jego zespołu przez Deloitte.
Choć to dwa odrębne wydarzenia, oba pokazują, że w branży technologicznej coraz większe znaczenie ma nie tylko sam produkt, ale też zaufanie do ludzi, procesów i narzędzi, które stoją za jego powstawaniem.
Setki zainfekowanych wersji pakietów open source
W centrum pierwszej sprawy znalazła się kampania określana jako Mini Shai-Hulud. Badacze bezpieczeństwa ostrzegli przed publikacją ponad 630 złośliwych wersji rozłożonych na 317 pakietów w zaledwie około 20 minut. Taki tempo sugeruje dobrze przygotowaną i częściowo zautomatyzowaną operację, której celem było jak najszybsze rozprzestrzenienie infekcji, zanim ktokolwiek zdąży ją wykryć.
Atak opierał się na przejęciu konta jednego z deweloperów. Po uzyskaniu dostępu napastnicy zaczęli wypuszczać skażone aktualizacje do użytkowników, którzy korzystają z tych pakietów jako zależności w swoich projektach. To klasyczny przykład ataku na łańcuch dostaw: celem nie jest od razu końcowa ofiara, ale element zaufanej infrastruktury, który może „rozlać” zagrożenie na setki kolejnych systemów.
Wśród wskazanych pakietów znalazła się także Antv — biblioteka stworzona przez Alibaba. Z kolei w części przypadków złośliwe aktualizacje pojawiły się również na GitHubie, co dodatkowo zwiększało zasięg całej operacji.
Dlaczego ten typ ataku jest tak groźny
Problem z taką metodą polega na tym, że zainfekowany pakiet może wyglądać jak zwykła, legalna aktualizacja. Dopiero po instalacji uruchamia złośliwe działania, takie jak próby wykradania danych logowania, tokenów czy innych sekretów zapisanych w systemie.
Według informacji towarzyszących temu incydentowi głównym celem kampanii było kradzież credentiali z wielu usług, w tym także z menedżerów haseł. To szczególnie niebezpieczne, bo dostęp do takich danych może otworzyć drogę do dalszych włamań, ruchu lateralnego i utrwalenia dostępu w kolejnych środowiskach.
W praktyce oznacza to ryzyko nie tylko dla pojedynczych developerów, ale też dla firm technologicznych, platform finansowych i każdej organizacji, która polega na automatycznych procesach wdrożeniowych oraz dużej liczbie zewnętrznych zależności.
Mini Shai-Hulud to nie odosobniony przypadek
Nowa fala ataków nie wygląda na jednorazowy incydent. To raczej kontynuacja szerszej kampanii wymierzonej w ekosystem open source i osoby utrzymujące popularne biblioteki.
Wcześniej, w ramach tej samej serii działań, napastnicy mieli wykorzystać bibliotekę TanStack, a następnie doprowadzić do przejęcia komputerów dwóch pracowników OpenAI. To pokazuje, że celem mogą być zarówno małe projekty open source, jak i organizacje o bardzo dużym profilu technologicznym.
Tego typu incydenty są szczególnie groźne właśnie dlatego, że uderzają w fundament zaufania. Gdy jedna zaufana zależność przestaje być zaufana, zagrożenie rozchodzi się szeroko i szybko.
Blocknative kończy działalność, Deloitte przejmuje zespół
Druga ważna informacja dotyczy firmy Blocknative, która specjalizowała się w infrastrukturze blockchain. Deloitte przejął jej zespół w modelu określanym jako acqui-hire, czyli przejęcia ludzi i kompetencji, a niekoniecznie całego biznesu w dotychczasowej formie.
Blocknative poinformował, że kończy działalność, a jego API oraz Gas Network będą wygaszane. Usługi mają działać jeszcze do 19 czerwca.
Firma działała od 2018 roku i koncentrowała się m.in. na:
- monitorowaniu mempoola w czasie rzeczywistym,
- prognozowaniu opłat gas,
- zarządzaniu transakcjami,
- narzędziach do optymalizacji wysyłania transakcji,
- infrastrukturze związanej z danymi o cenach gas.
Jej Gas Network pełnił funkcję zdecentralizowanej sieci oracle dla danych o opłatach transakcyjnych.
Co to oznacza dla rynku
Blocknative był jednym z elementów zaplecza, na którym opierały się różne projekty Web3 i rozwiązania transakcyjne. Jego wygaszanie wpisuje się w szerszy trend konsolidacji w branży kryptowalut, gdzie część firm ogranicza działalność, zwalnia pracowników albo całkowicie zamyka projekty infrastrukturalne.
Jednocześnie ruch Deloitte pokazuje, że tradycyjne firmy doradcze i audytorskie coraz mocniej interesują się rynkiem krypto i Web3. W praktyce oznacza to, że wiedza i kompetencje z tej niszy stają się coraz cenniejsze także poza typowym ekosystemem startupowym.
Co łączy te dwa wydarzenia
Na pierwszy rzut oka atak na pakiety open source i zamknięcie firmy infrastrukturalnej to dwa różne tematy. W rzeczywistości oba pokazują ten sam problem: cały cyfrowy ekosystem jest tak silny, jak jego najsłabszy punkt.
W pierwszym przypadku słabym ogniwem okazało się zaufanie do konta developera i procesu publikacji paczek. W drugim — stabilność projektów infrastrukturalnych, bez których wiele aplikacji po prostu traci oparcie techniczne.
Dla branży krypto to ważne przypomnienie, że bezpieczeństwo nie kończy się na portfelu czy giełdzie. Obejmuje też bibliotekę, zależność, repozytorium, API i zespół, który odpowiada za ich utrzymanie.
