4 January 2025پکیج‌های مخرب npm، کلیدهای خصوصی توسعه دهندگان اتریوم را می‌ربایند#Blockchain #Cyber_security #Ethereum #اتریوم https://vulnerbyte.com/malicious-npm-packages-target-ethereum-developers-private-keys/vulnerbyte.comپکیج‌های مخرب npm، کلیدهای خصوصی توسعه دهندگان اتریوم را می‌ربایند
پکیج‌های مخرب npm، توسعه‌دهندگان اتریوم (Ethereum) را به منظور سرقت کلیدهای خصوصی آنها و سایر اطلاعات حساس هدف قرار می‌دهند.
@mohandes_maemoli30 March 2025Replying to @Vulnerbyteهمیشه سیستم‌های حساس باید چند امضایی و توزیع شده باشن.یه گروه از npm استفاده کنن، یه گروه از pip یه گروه ازGnosis تا اگه یه گروه آسیب‌پذیری داشتن، کل سیستم به خطر نیافته.
@Vulnerbyte30 March 2025Replying to @mohandes_maemoliممنون از نظرتون،ایده توزیع ابزارها می‌تواند ریسک را کاهش دهد، اما به‌تنهایی کافی نیست. حتی اگر از چندین منبع استفاده کنیم، اگر یک زنجیره تأمین آلوده بشه، باز ممکنه کل سیستم آسیب ببینه. راهکارهای مکمل مثل امضای دیجیتال یا چند امضا که گفتید،Dependency Auditing و Least Privilege Access هم ضروری هستند.
@mohandes_maemoli30 March 2025Replying to @Vulnerbyteزنده باشیدهمینطوره، ما امنیت ۱۰۰٪ نداریم به همین خاطر راهکارهای ایمنی چندلایه‌ای هستن.به نظرم Dependency Auditing نکته خیلی ضروری‌ای هست که می‌شه در CICD Pipeline اون رو جاسازی کرد.اما شما چه رویکردی عملی برای Dependency Auditing پیشنهاد می‌کنید؟
@Vulnerbyte5 April 2025۲: اسکن آسیب‌پذیری‌ها: اجرای ابزارهای تحلیل امنیتی وابستگی‌ها به عنوان مثال OWASP Dependency-Check، Snykو CLI / GitHub Dependabot۳: بررسی و ارزیابی آسیب‌پذیری‌ها۴: تصمیم‌گیری درباره هر وابستگی آسیب‌پذیراگر Patch منتشر شده باشه: ارتقاء نسخه وابستگیاگر هنوز Patch موجود نیست: ایزوله کردن ، جایگزینی
