В криптовалютном сообществе обнаружена серьезная угроза безопасности: злоумышленники успешно внедрили вредоносный код в официальную JavaScript-библиотеку xrpl.js, используемую для взаимодействия с блокчейном XRP. Инцидент затронул несколько версий библиотеки, включая 2.14.2 и серию релизов 4.2.1-4.2.4, опубликованных в npm 21 апреля 2025 года.
Механизм атаки и масштаб угрозы
Специалисты компании Aikido выявили, что злоумышленники внедрили вредоносную функцию checkValidityOfSeed в файл /src/index.ts. Эта функция осуществляла кражу критически важных данных пользователей: seed-фраз, приватных ключей и мнемонических фраз кошельков XRP. Похищенная информация передавалась на контролируемый хакерами сервер через замаскированные HTTP POST-запросы, имитирующие рекламный трафик.
Технические детали компрометации
Библиотека xrpl.js, поддерживаемая XRP Ledger Foundation (XRPLF), является основным инструментом разработчиков для работы с блокчейном XRP. По данным статистики, только за последнюю неделю зафиксировано более 140 000 загрузок библиотеки. Хотя скомпрометированные версии были загружены всего 452 раза, реальный масштаб угрозы может быть значительно больше, учитывая возможность использования одной копии библиотеки для управления множеством кошельков.
Рекомендации по безопасности
XRP Ledger Foundation настоятельно рекомендует всем пользователям немедленно обновиться до безопасной версии 4.2.5. Организации и разработчики, использовавшие скомпрометированные версии, должны провести экстренную ротацию всех приватных ключей и отключить потенциально скомпрометированные мастер-ключи, используя встроенные механизмы XRP Ledger.
Важно отметить, что основная кодовая база XRP Ledger и GitHub-репозиторий проекта остались незатронутыми этой атакой. Крупные проекты экосистемы, включая Xaman Wallet, XRPScan, First Ledger и Gen3 Games, также подтвердили отсутствие компрометации. Уязвимости присвоен идентификатор CVE-2025-32965 с критическим уровнем опасности 9,3 по шкале CVSS, что подчеркивает серьезность угрозы и необходимость немедленного реагирования.
