gm! JS инфраструктура в очередной раз поддается атакам на криптанов.

В этот раз задели несколько старых системных JS пакетов – debug (357M установок в неделю) и chalk (299М установок в неделю) и пачку остальных, с помощью взлома Git одного из предыдуших мейнтейнеров. Можно прочитать полный репорт здесь от владельца взломанного аккаунта. Вкратце – взлом 2FA доступов к NPM через email.

Как это может задеть вас?

При обыкновенном подключении кошелька ничего без вашего ведома не произойдет.

Скрипт внедряется в любую страницу, содержащую JS код и проверяет наличие Ethereum кошельков (с помощью проверки `window.ethereum`), затем при попытке отправки любой транзакции через кошелек просто подменяет адрес получателя.

Уязвимым может оказаться буквально любой веб-сайт, который в течение последних пары часов обновлял свои зависимости и установил взломанную версию. На текущий момент с NPM уже удалили версию с багом

Кажется, что ближайшие пару дней лучше избегать подписи транзакций, либо быть максимально внимательным к адресу получения. Адрес злоумышленника – 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

Что сделать разработчикам?

Проверьте lock файлы, ведь взломанные пакеты по большей части служебные и могут не использоваться напрямую в проекте.

Учитывая то, что пакетов – много, лучше пройти grep c фильтром на строку кода:

grep -r "const _0x112" node_modules/

Обфусцированный скрипт оставили здесь, а тут немного больше деталей, как он работает под капотом.

Issues с предупреждениями и больше технических деталей:
https://github.com/chalk/chalk/issues/656
https://github.com/debug-js/debug/issues/1005

но tbh пока выглядит как самая грустная атака, кошелек абсолютно пустой 🥰

Кто не понял: 😬

Воздержитесь от транзакций в принципе, если дороги тугрики.

SOMNIA

Ну вы же понимаете, что это рисованное все?

ММ насмотрелся на то как выносят шортами токенсы на старте и задолбплся все это откупать 😄

Теперь тактика иная = распампить говнопроекты до небес попутно ликвидируя незадачливых шортистов, которые как топливо служат для дальнейшего роста, а точнее их ректы.

Будьте бдительны 😊

Упасть актив может только на 100%, а вырасти на ♾️ 😬

По MYX DYOR, но всем пампам есть предел, в любом случае итог у проекта только один, надо переждать бурю и зайти во время 🍀

На скрине сомния тк у нее абсолютно похожая история, дроп говна, налип шортистов, вынос вперед ногами депозитов

РЕКТ

Фандинг Упал с 2 до 0.6 Хороший знак для шортистов ✈️

Easy Play

Закрылось по лимитке про которую забыл, хотел ниже переставлять... ну лан, я доволен.

TRADE OF THE DAY ✈️

У меня 13 simple уже 5 лет вроде, нужно обновиться 😊

ORACLE

Вы в курсе что у нас новый богатейший человек на Земле? Это Ларри Эллисон сооснователь одной из крупнейших компаний создательниц дата центров, рост акций на 40% за 1 день после подписания соглашения с OpenAi увеличило состояние до 400лярдов зеленных, мужик обогнал Маска и теперь в топе мирового рейтинга толстосумов ✈️

PUMPFUN + PNKSTR

Если вы ищите лудку, то вот вам две возможности. 🫠

PUMPFUN

Уже отбайбекал 6% эмиссии и не собирается останавливаться, токен вырос со дна почти в 4 раза и имеет выкуп на уровне HYPE... Похоже он продолжит расти и дальше, взял лонг на не большую сумму с возможностью усреднить, да я набирал его по лоям ~0.003 НО я не выдержал просадку и продал, тогда еще не было новостей про байбеки... В общем похоже что лудилка будет стабильно работать и дорожать, поучавствую на 20% депа в этой истории...
DYOR и считайте деньги не завышайте риски, это крайне важно даже во времена такой эйфории ✈️



PNKSTR

Супер свежий понци проект, с очень интересной механикой внутри. Разраб известный билдер в BASE. Супер риск.

МЕХАНИКА

1. С каждого обмена ETH на токен снимается комса в пользу протокола, 20% билдерам и 80% уходит в банк на покупку NFT из коллекции Панков, Да тех самых... Которые от ~40ETH по цене.

2. Смарт протокол покупает самого дешевого панка доступного на рынке и переставляет его цену на х1.2 (это будет работать бесконечно).

3. После продажи панка первый блок комиссия 90% и будет снижаться каждый блок на 10% (антислив механика).

МЕМ свежий, но механика супер уникальная, повторяю СУПЕР РИСК, но с очень хорошим РР на стадии зарождения, сейчас мы в точке, где продалось всего 2 панка.

ПОЧЕМУ ИМБА АКТИВНОСТЬ ПО РР ❓

1. Билдер известен своими кейсами.

2. Механика завязана на самой крутой коллекции в крипте

3. Шилят в твиттере 1 2 3 4 5 владельцы панков, которые будут заинтересованы в росте самих NFT и куча прилипшего плебса вроде нас, который будет шилить токен.

4. Мы в самом старте маркеткап всего 12лямов, вижу тут минимум Х10 (не ловите ФОМО ПЛИЗ)

5. Изначально планировалось как долгая активность и не стал писать, но вчера купили панка и токен дал Х10 от 1 ляма капы...

КОГО ЗАИНТЕРЕСОВАЛО

Сам сайт

Токен со всеми данными

Обмен на UniSwap


Я НЕ ПРИЗЫВАЮ ВАС ЛУДИТЬ, ВСЕ МОЖЕТ БЫТЬ DYOR

КАК ВСЕГДА РЕШАТЬ ВАМ

Пошел откат по цене, но мы почти набрали на покупку третьего панка...

Наблюдаем ✈️