gm! JS инфраструктура в очередной раз поддается атакам на криптанов.

В этот раз задели несколько старых системных JS пакетов – debug (357M установок в неделю) и chalk (299М установок в неделю) и пачку остальных, с помощью взлома Git одного из предыдуших мейнтейнеров. Можно прочитать полный репорт здесь от владельца взломанного аккаунта. Вкратце – взлом 2FA доступов к NPM через email.

Как это может задеть вас?

При обыкновенном подключении кошелька ничего без вашего ведома не произойдет.

Скрипт внедряется в любую страницу, содержащую JS код и проверяет наличие Ethereum кошельков (с помощью проверки `window.ethereum`), затем при попытке отправки любой транзакции через кошелек просто подменяет адрес получателя.

Уязвимым может оказаться буквально любой веб-сайт, который в течение последних пары часов обновлял свои зависимости и установил взломанную версию. На текущий момент с NPM уже удалили версию с багом

Кажется, что ближайшие пару дней лучше избегать подписи транзакций, либо быть максимально внимательным к адресу получения. Адрес злоумышленника – 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

Что сделать разработчикам?

Проверьте lock файлы, ведь взломанные пакеты по большей части служебные и могут не использоваться напрямую в проекте.

Учитывая то, что пакетов – много, лучше пройти grep c фильтром на строку кода:

grep -r "const _0x112" node_modules/

Обфусцированный скрипт оставили здесь, а тут немного больше деталей, как он работает под капотом.

Issues с предупреждениями и больше технических деталей:
https://github.com/chalk/chalk/issues/656
https://github.com/debug-js/debug/issues/1005

но tbh пока выглядит как самая грустная атака, кошелек абсолютно пустой 🥰

Ночной вброс про часы-кольцо Casio в честь 50 лет помните?

Тогда цена гуляла от 360 до 600 евро.

Сейчас цена уже от 134€ на stockx. Что звучит более чем приемлимо за такую приколюху.

Как будто тут охутельная параллель с инвестициями и криптой.
Какая-то мораль про оценку нужности инвеста конкретно в этот момент времени, реальной потребности входа в сделку и диапазонов приемлемой цены даже с учётом потенциального пампа.

Но я же не душнила ебаный, сами в комментах додумаете. 😤

dGen1

Пока я наблюдала за звездами, пришло уведомление, что со второй недели сентября начнут отправки dGen1. Поэтому, отправив близким жабку и перевернув календарь, ретроспективно покопалась в том, что было куплено в период личной эйфории в тренчах 2024 (тогда сильно хотелось прикоснуться к эфиру через девайс).

📝Немного хронологии:
▪️2021 формируется Freedom Factory для разработки ethOS как ответвления OS на базе Android.
▪️2022 выпустили первую версию OS ( в "С нуля до нуля" о них писали) ethOS V1 (на основе LineageOS) для устройств Pixel 3/3XL/5a с бесплатной установкой через веб-установщик.
▪️2023 начало, повторное развертывание в качестве форка GrapheneOS для повышения безопасности. Введены такие функции, как магазин dApp, приложение Mint и браузер.
▪️20.08.2023 запустили покупку NFT для ethOS 2.0 Limited edition Nouns (на основе Google Pixel 7a), доставка была только в США. 50 штук сминтили за 24 часа. Стоимость 0.39 $ETH за NFT.

Пользователи могли купить Pixel 7a и бесплатно установить операционную систему самостоятельно, однако погоня за дропами стоила 50% прибавки к цене.

▪️16.04.2024 выпуск обычных Pixel 7a c ethOS по 0.22 $ETH.
▪️08.2024 проект получил значительную поддержку, включая пожертвование от Виталика Бутерина для стимулирования разработок.
▪️10.2024 предпродажи на собственное устройство dGEN1 по 0.2 $ETH.
▪️2025 : отправки dGEN1 запланированы на сентябрь; продолжающийся рост экосистемы приложений.

👽Команда:
mhaas.eth —СЕО, кофаундер Freedom Factory.
Hexidethmal -кофаундер Freedom Factory.
nceornea.eth —СТО, кофаундер Freedom Factory, кор дев ethOS.
Anthony Berardi -СОО Freedom Factory.
emunsi.eth —CDO Freedom Factory, разработчик ПО ethOS.
Kaizen —билдер, зачастую он отвечает в дискорде.
Florian Seffert —промоушн на немецкоговорящую Web3 аудиторию; ведет подкаст BlockBlick.

Почему-то веровала, что они из Южной Америки, а оказалось -большинство из Австрии.

💷Инвестиции, гранты и профиты с NFT:
-ноябрь 2022 ENS грант , точной информации о суммах нет;
-август 2023 продажа 50 NFT ethOS 2.0 Limited edition Nouns (19.5 $ETH);
-апрель 2024 продажи NFT common Google Pixel 7a 199 шт. по 0.22 $ETH (43.78 $ETH);
-январь 2024 грант от Optimism76 400 $OP;
-август 2024 донат от Бутерина 199,9 $ETH;
-октябрь-декабрь 2024 dGen1 6019 NFT по $ETH (1203.8 $ETH).

В токенах: 1466.98 $ETH, 76 400 $OP, в наихудшем случае это около 3 млн. долларов с 2021 ( отдельно стоит учесть стоимость устройств и разработок).

📱Приложения:
-cтраница со всеми приложениями;
-80 штук.
Неприятно удивило то, что часть проектов переехала на новые Х профили, а по ссылке выбивает старые. Сделала табличку с приложениями, количество приложений впечатляет, качество -не особо (многие игры шлак редкостный+ мертвые проекты никто не убрал).

🥺Худшие ожидания:
-скаманут, либо потеряется на почте;
-жуткий налог (как в Нигерии 130$, случай из дискорда);
-самая дорогая игрушка для питомцев (лазерная указка);
-будет норм, но дропами себя не окупит (на Pixel 7a их вообще не было, тут хотя бы пул есть 31$ на девайс по текущим).

✨Мечты:
-оно доедет в конце сентября без каких-либо проволочек;
-более чем окупится дропами;
-неожиданно запихнут внутрь подобие кролика.

Если хотите получить устройство в первой партии, обменяйте NFT до пятницы.