Kripto para hırsızlığı: JavaScript ekosistemine sızan NPM saldırısı milyonları riske attı

Milyonlarca geliştirici tarafından kullanılan JavaScript ekosistemi, kripto para odaklı yeni bir kötü amaçlı yazılım saldırısıyla sarsıldı. Son saldırıda, popüler açık kaynak paketlerine gizlice yerleştirilen ‘kripto para hırsızlığı’ amaçlı zararlı kodlar nedeniyle hem web hem de sunucu tabanlı uygulamalar dünya genelinde tehlike altına girdi.

Güvenlik uzmanlarının 24’ünde yaptığı açıklamaya göre, bu saldırı bir yazılım tedarik zinciri saldırısı niteliğinde ve doğrudan açık kaynak yazılımların yer aldığı NPM (Node Package Manager) platformunu hedef alıyor. Saldırganlar, ‘qix’ takma adlı tanınmış bir geliştiricinin NPM hesabını oltalama yoluyla ele geçirerek, onun yönettiği yüksek kullanım oranına sahip bazı kütüphanelerin içine kötü niyetli yazılım enjekte etti. Bu kütüphaneler arasında haftada 1 milyardan fazla indirilen önemli yardımcı paketler de yer alıyor; dolayısıyla saldırının etki alanı son derece geniş.

Zararlı yazılımın bir ‘kripto para klipperi’ olduğu tespit edildi. Temel mekanizması, kullanıcının Ethereum(ETH), Solana(SOL) ve benzeri dijital varlıklarını transfer ederken alıcı cüzdan adresini gizlice saldırganın adresiyle değiştirmek. Daha da tehlikelisi, kullanıcı sisteminde cüzdan uygulaması olmasa bile tarayıcıdaki 'fetch' gibi HTTP istek fonksiyonlarına müdahale ederek ağı dinleyip sahte adresler üretiyor. Bu adresler görsel açıdan neredeyse birebir taklit edilerek kullanıcıların bu değişikliği fark etmesi zorlaştırılıyor.

Saldırı, sadece basit web sitelerini değil, masaüstü ve mobil uygulamalarla birlikte backend sistemleri de etkiliyor. Kötü amaçlı kodlar ‘chalk’, ‘strip-ansi’, ‘color-convert’ ve ‘color-name’ gibi yaygın paketlerin içerisine gizlenmiş durumda ve bu paketlerin çoğu çok sayıda başka açık kaynak projenin bağımlılığı konumunda.

Sistemdeki anormal davranışlar, bir geliştiricinin otomatik derleme aşamasında “fetch is not defined” hatasıyla karşılaşması sonucu tesadüfen ortaya çıktı. İnceleme sonrası saldırganın, kullanıcının kripto işlemine imza atmadan hemen önce sistem belleğindeki verileri değiştirerek fonları çalmaya çalıştığı tespit edildi. Yani teknik olarak üst düzey bir istismar yöntemi söz konusu.

Bu gelişmelerin ardından donanım cüzdan üreticisi Ledger’ın CEO’su, “Donanım cüzdanı kullananlar her işlem öncesi detayları dikkatle incelemeli. Yazılım cüzdanı kullananlar ise mümkün olduğunca kısa vadede zincir üstü işlemlerden kaçınmalı” diyerek uyarıda bulundu.

Olaydan etkilenen projeler de vakit kaybetmeden açıklama yaptı. Örneğin merkeziyetsiz finans platformu Uniswap, etkilenen paket versiyonlarını kullanmadıklarını belirtiyken, Blockstream ise sistemlerinin saldırıdan etkilenmediğini açıkladı.

NPM ekosistemine yönelik saldırıların *giderek sıklaştığı* gözlemlenirken, bu son olay kripto paraların siber suçlular açısından ana hedef haline geldiğini ortaya koyuyor. Uzmanlar, “Bazen yalnızca bilinçsizce atılan bir tıklama, kullanıcıya milyonlarca lira zarar verebilir” diyerek dikkatli olunması gerektiğini söylüyorlar.

Bu olay, geleneksel anlamda bireysel cüzdanların ötesine geçip, *modern yazılım geliştirme dünyasının yapısal güvenlik açıklarını* net biçimde gözler önüne seriyor. Hem geliştiriciler hem kullanıcılar için NPM tabanlı çözümleri kullanmadan önce çok daha dikkatli bir denetim süreci artık kaçınılmaz görünüyor.