昨夜，駭客給玩 Web3 的用戶放了一個小假。

12 月14 日20 點，Sushi 技術長@MatthewLilley 在社群媒體上發布警告：請用戶切勿與任何dApp 交互，直至另行通知。一個常用的 Web3 連接器似乎已被破壞，允許注入影響眾多 dApp 的惡意程式碼。

不僅是 Zapper 和 Sushi 的前端受到損害，據統計有一百多個 dapp 受到影響。

這與硬體錢包提供者Ledger 的軟體庫有關，原因是LedgerHQ/connect-kit 從CDN 載入JavaScript，他們的CDN 帳戶已被洩露，正在將惡意JavaScript 注入多個dApp。有不少 DApp 都有依賴 Ledger 被投毒的程式碼庫，影響面較廣。

在各方提醒下，昨晚Web3 的用戶們給自己放了一個小假，暫時盡量不進行鏈上操作，以免與被投毒的DApp 進行了交互。

前員工帳號洩露，攻擊團隊早已潛伏

慢霧創辦人餘弦在社交媒體上發文表示，從程式碼編輯頁面來看，本次Ledger 程式碼庫攻擊團夥在ledgerhq/connect-kit 1.1.5 版本就開始竄改了，但沒有植入惡意程式碼，僅寫入一些嘲諷訊息。

1.1.6 版本開始植入惡意程式碼，但可能有點問題，隨後發布了1.1.7 帶惡意程式碼的版本。最終，駭客留言感謝了前段時間宣布停止服務的網路釣魚工具包 Inferno Drainer。

目前，Ledger、Walletconnect 和合作夥伴已經報告了駭客的錢包。 Tether 凍結了攻擊者的 USDT。

Ledger 正在提出投訴並與執法部門合作追查攻擊者，同時也分析漏洞利用，以防止未來的攻擊。據信，襲擊者的地址 0x658729879fca881d9526480b82ae00efc54b5c2d，正在接受審查。

Scope Protocol 聯創0xSentry 在社群媒體上發文表示，攻擊者留下的數位痕跡中涉及@JunichiSugiura（Jun，Ledger 前員工）的Gmail 帳戶，後者的帳戶可能已被洩露。

有開發者表示，一種可能的情況是，Jun 的github 帳戶已經洩露，並且ledger 在他離開後忘記刪除他的訪問權限了。

在這個所謂的「黑暗森林」中，這類獵手並不罕見，在未來也有可能發生，因此使用者需要注意防範。

雖然 Ledger 模組 ledgerhq/connect-kit 的安全性問題已緩解，但可能存在被投毒程式碼殘留在瀏覽器快取中。這也適用於在錢包應用程式內建瀏覽器中的快取。 因此建議所有用戶清除緩存，等待24小時後再進行錢包活動。

另外需注意，增加對待簽章交易的警覺性。在區塊鏈世界中，不可預測的安全威脅時有發生，因此仔細檢查交易內容至關重要。

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia