Ledger-CTO warnt Wallet-Inhaber nach NPM-Konto-Hack
- Ein groß angelegter Angriff traf JavaScript-Tools, die von Millionen auf Krypto-Plattformen genutzt werden.
- Ledger CTO riet den Nutzern, jede Transaktion zu überprüfen und Blind Signing zu vermeiden.
- Entwicklern wurde geraten, Pakete abzusichern und automatische Updates zu stoppen, bis die Fehler behoben sind.
Ein umfassender Supply-Chain-Angriff auf das JavaScript-Ökosystem hat die Kryptoindustrie erschüttert und die fragilen Abhängigkeiten ihrer Infrastruktur offengelegt. Am 8. September 2025 bestätigte Charles Guillemet, Chief Technology Officer von Ledger, dass Angreifer das NPM-Konto (Node Package Manager) eines renommierten Entwicklers kompromittiert hatten. Das kompromittierte Konto ermöglichte es Hackern, „Crypto-Clipper“-Malware in stark genutzte JavaScript-Pakete einzuschleusen.
Diese infizierten Bibliotheken, darunter chalk, debug, strip-ansi und color-convert, wurden insgesamt mehr als 1 Milliarde Mal heruntergeladen, was das enorme Ausmaß der Gefährdung zeigt. Laut Guillemet tauscht der bösartige Code heimlich Krypto-Wallet-Adressen während Transaktionen aus und leitet Gelder an von Angreifern kontrollierte Konten weiter. Das bedeutet, dass ahnungslose Nutzer Transaktionen abschließen können, die sie für legitim halten, während sie unwissentlich Vermögenswerte verlieren.
Die betroffenen Tools waren alles andere als obskur. Bibliotheken wie Chalk und Debug unterstützen zahlreiche dezentrale Anwendungen und Krypto-Plattformen und sind somit eng in den täglichen Betrieb des Ökosystems eingebunden. Ein Einbruch in diese Bibliotheken zeigte, dass ein einziger Vorfall schnell Millionen von Wallets und Anwendungen betreffen kann.
Dringende Warnungen vom Ledger CTO
Guillemet nannte den Namen des kompromittierten Entwicklers nicht. Er machte jedoch deutlich, dass die Bedrohung weitreichend ist. „Dies ist ein groß angelegter Supply-Chain-Angriff. Das gesamte JavaScript-Ökosystem könnte betroffen sein“, schrieb er in seiner offiziellen Warnung.
Er betonte die Bedeutung von Hardware-Wallets mit sicheren Bildschirmen, die Clear Signing unterstützen. „Der einzige sichere Weg, dies zu bekämpfen, ist die Verwendung einer Hardware-Wallet mit sicherem Bildschirm, die Clear Signing unterstützt“, sagte er. „So kann der Nutzer genau sehen, an welche Adressen Gelder gesendet werden, und sicherstellen, dass sie mit den beabsichtigten Adressen übereinstimmen.“
— Charles Guillemet 8. September 2025
Es läuft ein groß angelegter Supply-Chain-Angriff: Das NPM-Konto eines renommierten Entwicklers wurde kompromittiert. Die betroffenen Pakete wurden bereits über 1 Milliarde Mal heruntergeladen, was bedeutet, dass das gesamte JavaScript-Ökosystem gefährdet sein könnte.
Die bösartige Nutzlast funktioniert…
Er fuhr fort: „Hardware-Wallets ohne sichere Bildschirme und jede Wallet, die kein Clear Signing unterstützt, sind einem hohen Risiko ausgesetzt, da es unmöglich ist, die Transaktionsdetails korrekt zu verifizieren.“
Abschließend gab er eine allgemeine Erinnerung heraus: „Es ist eine Gelegenheit, alle daran zu erinnern: Überprüfen Sie immer Ihre Transaktionen, unterschreiben Sie niemals blind, verwenden Sie eine Hardware-Wallet mit sicherem Bildschirm und signieren Sie alles klar.“
Reaktion der Entwickler und weitere Auswirkungen
Nach der Offenlegung wurden Entwickler aufgefordert, sichere Versionen von Abhängigkeiten zu fixieren, Lockfiles abzusichern und automatische Paket-Updates bis auf Weiteres zu stoppen. Diese Vorsichtsmaßnahmen sollen den Schaden eindämmen, während Audits und Bereinigungen im gesamten Ökosystem durchgeführt werden. Prominente Persönlichkeiten der Krypto-Entwickler-Community rieten den Nutzern außerdem, den Kontakt mit Krypto-Websites zu vermeiden, bis die Schwachstellen behoben sind.
Verwandt: Ripple-Entwickler verteidigen XRP Ledger angesichts der Kaiko-Bewertung
Dieses Ereignis zeigt, dass selbst kritische Wallet-Anbieter wie Ledger auf Softwareebenen angewiesen sind, die außerhalb ihrer direkten Kontrolle liegen. Wenn solche Ebenen kompromittiert werden, können die Folgen verheerend sein. Millionen von Nutzern und digitale Werte in Milliardenhöhe könnten innerhalb von Stunden gefährdet sein.
Update zum NPM-Angriff
Laut dem neuesten Update von Guillemet ist der Angriff gescheitert und hatte fast keine Opfer. Er begann mit einer Phishing-E-Mail von einer gefälschten npm-Support-Domain, die Zugangsdaten stahl und den Angreifern ermöglichte, bösartige Paket-Updates zu veröffentlichen. Der eingeschleuste Code zielte auf Web-Krypto-Aktivitäten ab, indem er sich in Ethereum, Solana und andere Chains einklinkte, um Transaktionen zu kapern, indem Wallet-Adressen direkt in den Netzwerkantworten ersetzt wurden. Die Fehler der Angreifer führten jedoch zu Abstürzen in CI/CD-Pipelines, was zu einer frühen Entdeckung und einer Begrenzung der Auswirkungen führte.
Guillemet betonte, dass, wenn Ihre Gelder in einer Software-Wallet oder auf einer Börse liegen, Sie nur eine Codeausführung davon entfernt sind, alles zu verlieren. Supply-Chain-Kompromittierungen bleiben ein mächtiger Vektor für die Verbreitung von Malware, und gezielte Angriffe nehmen zu. Er hob auch hervor, dass Hardware-Wallets darauf ausgelegt sind, diesen Bedrohungen standzuhalten. Funktionen wie Clear Signing ermöglichen es Ihnen, genau zu bestätigen, was passiert, und Transaktionsprüfungen markieren verdächtige Aktivitäten, bevor es zu spät ist.
Der Beitrag Ledger CTO warnt Wallet-Inhaber nach NPM-Konto-Hack erschien zuerst auf Cryptotale.
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
Anthropic Roadshow startet frühestens am Dienstag dieser Woche, nach dem Ausverkauf von KI steht die IPO-Preisfestsetzung vor einer großen Bewährungsprobe.
Wenn die Roadshow reibungslos verläuft, könnte Anthropic in der Woche vom 16. November die Preisfestsetzung abschließen und an der Nasdaq notieren, noch vor dem Thanksgiving-Feiertag in den USA im November. Laut einem Bericht am vergangenen Freitag ist nach dem starken Kursrückgang von KI-Aktien der diskutierte Unternehmenswert von Anthropic bei einigen potenziellen Investoren bereits auf etwa 1,2 bis 1,3 Billionen US-Dollar gesunken, manche erwägen sogar 1,1 Billionen – deutlich weniger als die zuvor am Markt diskutierten rund 2 Billionen US-Dollar.
Die schwierige Wahl amerikanischer Vermögenswerte unter hohen Zinssätzen
Strengere US-Regulierung von Rechenzentren trifft KI-Infrastrukturaktien? Morgan Stanley: Begrenzte Auswirkungen bis 2027, größere Risiken konzentrieren sich auf 2028
Morgan Stanley ist der Ansicht, dass der Ausverkauf von KI-Infrastruktur-Aktien, der durch die US-amerikanischen Zwischenwahlen ausgelöst wurde, möglicherweise übertrieben ist. Das Risiko einer Expansion von Datenzentren bis 2027 bleibt begrenzt, die Nachfrage nach KI-Rechenleistung ist weiterhin stark. Einige Technologieaktien bieten bereits Anlagemöglichkeiten, wobei Microsoft weiterhin die bevorzugte Wahl bleibt.
Goldman Sachs nennt wichtige Trendlinien, letzte Verteidigungslinie der Nasdaq steht auf dem Spiel
Der Nasdaq 100 Index fällt seit vier Wochen in Folge und testet derzeit präzise die wichtige Trendlinie, die die Tiefpunkte von 2025 und 2026 verbindet (bei 26.630 Punkten). Obwohl die Gewinne im dritten Quartal stark waren, reagieren die Anleger auf die erhöhte Risikovermeidung und den Anstieg des Panik-Indikators, indem sie die potenzielle Abschwächung im Jahr 2028 einpreisen und die Aktienpreise weiter sinken. Angesichts massiver Kapitalabflüsse aus dem Ausland und einer starken Bewertungsdivergenz wartet der Markt auf die Herausforderungen durch den CPI und die Quartalsberichte der Chip-Giganten in dieser Woche.
Krypto-Preise
Mehr
