Bitcoin ve Ethereum’da NPM Saldırısı Riskleri: Tehditler Devam Edebilir, Geliştiriciler Dikkatli Olmalı

• NPM tedarik zinciri saldırısı, popüler kütüphanelere crypto-clipper kodu enjekte etti.

• Sadece 18 paket sürümü etkilendi; geri dönüşler ve güvenli sürümler mevcut.

• Saldırının etkisi: Gözlemlenen vakalarda yaklaşık 50 $’lık çalınma, ancak borsalar ve yazılım cüzdanları açısından risk yüksek.

NPM saldırısı tedarik zinciri: NPM kötü niyetli güncellemeleri kütüphanelere gönderdi — hemen kontrol edin ve yama yapın. Doğrulama ve iyileştirme adımlarını öğrenin.

Ledger’in baş teknoloji sorumlusu Charles Guillemet, acil tehlikenin geçtiğini ancak tehdidin hala devam ettiğini belirtti.

Son Node Package Manager (NPM) saldırısı sadece 50 $ değerinde kripto çaldı, fakat sektör uzmanları bunun borsa ve yazılım cüzdanlarındaki zayıflıkları gözler önüne serdiğini söylüyor.

Charles Guillemet, donanım cüzdan üreticisi Ledger’ın CTO’su, Salı günü X (eski Twitter) paylaşımında denemeye yönelik bu saldırının, yazılım cüzdanlar ve borsaların hâlâ ciddi risklere açık olduğunun “açık bir hatırlatıcısı” olduğunu söyledi.

“Fonlarınız bir yazılım cüzdanında ya da borsada duruyorsa, bir kod yürütme saldırısı ile her şeyi kaybetmeniz an meselesi.” dedi ve tedarik zinciri ihlallerinin güçlü bir kötü amaçlı yazılım dağıtım yolu olarak devam ettiğine dikkat çekti.

Guillemet, bu tür saldırıları azaltmak için donanım cüzdanları ve işlem doğrulama özellikleri, özellikle net imzalama (clear signing) gibi sistemlerin kullanılmasını önerdi. “Acil tehlike geçmiş olabilir ama tehdidin devam ettiğini unutmayın. Güvende kalın.” diye ekledi.

NPM saldırısı nedir ve nasıl çalıştı?

NPM saldırısı, kimlik bilgileriyle yapılan tedarik zinciri ihlali sonucu, popüler JavaScript kütüphanelerine kötü amaçlı güncellemeler gönderilmesini sağladı. Enjekte edilen kod, bir crypto clipper görevi görerek birkaç blokzinciri üzerinde ağ yanıtlarında cüzdan adreslerini yakalayıp değiştiriyor, böylece fonlar saldırganların adreslerine yönlendiriliyordu.

Saldırganlar nasıl erişim sağladı ve hangi paketler etkilendi?

Saldırganlar, sahte NPM destek alan adı üzerinden phishing (oltalama) e-postası göndererek geliştirici kimlik bilgilerini ele geçirdi. Geliştirici hesaplarına erişim sağladıktan sonra, belirli paket sürümlerine kötü niyetli güncellemeler yayınladılar.

Sadece 18 paket sürümü etkilendi ve bunlar arasında yaygın kullanılan “chalk”, “ansi-styles” ve “debug” gibi kütüphaneler vardı. Otomatik güncelleme ile paketleri çeken ya da kötü amaçlı sürümlerden sonra hızlıca yeniden derlenen geliştiriciler en çok risk altında olanlardı.

Maddi zarar ne kadar büyüktü?

Kamusal olarak gözlemlenen doğrudan kayıp yaklaşık 50 $ seviyesindeydi. Onaylanmış zarar düşük olsa da, bu olayın potansiyel etkisi çok yüksek: Adreslerin ele geçirilmesi, kod üretim ortamlarına ya da borsalara ulaşırsa büyük ve gizli fon hırsızlıklarına yol açabilir.

Geliştiriciler ve kullanıcılar nasıl yanıt vermeli?

Geliştiriciler acilen harekete geçmeli: bağımlılık sürümlerini tespit edin, güvenli sürümlere geri dönün, temiz kodu yeniden yükleyin ve uygulamaları yeniden derleyin. Derleme geçmişi ve kilit dosyaları dikkatle incelenmeli, güvenilir kaynaklardan düzeltilmiş sürümler kullanılmalı.

Adım adım iyileştirme rehberi

1. Projenizde zararlı sürümlerden (örneğin ansi-styles, chalk, debug) birinin kullanılıp kullanılmadığını tespit edin.
2. Bağımlılıkları package.json ve kilit dosyalarında tanımlı güvenli sürümlere sabitleyin ya da dondurun.
3. node_modules klasörünü silin, paketleri resmi kaynaktan tekrar yükleyin ve paket bütünlüğünü (checksum) doğrulayın.
4. Temiz bir ortamda uygulamaları yeniden derleyip yayınlayın.
5. Canlı ortam loglarını adres değişiklikleri ve sıra dışı işlem hareketleri açısından düzenli olarak izleyin.

Hangi blokzincirler ve hizmetler risk altındaydı?

Enjekte edilen kod, ağ yanıtlarındaki cüzdan adreslerini yakalamaya çalıştı. Etkilenen önemli zincirler arasında Bitcoin, Ethereum, Solana, Tron ve Litecoin bulunuyor.

Neden donanım cüzdanları öneriliyor?

Donanım cüzdanları, ev sahibi ortam (host environment) ele geçirilse bile yazılım cüzdanlarının sağlayamadığı işlem imzalama koruması sağlar. Açık imzalama onayı ve işlem detaylarını gösterme gibi özellikler, adres değişikliği saldırılarını başarıyla gerçekleştirmeyi çok zorlaştırır.

Sıkça Sorulan Sorular

Uygulamamızda zararlı NPM paketi kullanılıp kullanılmadığını nasıl anlarım?

package.json ve kilit dosyalarınızda tespit edilen 18 zararlı sürüm numarasını arayın. Paketler varsa, ihlal olduğu varsayılarak iyileştirme adımlarını uygulayın: güvenli sürüme sabitleyin, yeniden yükleyin, derleyip tekrar devreye alın.

Saldırı sonrası yazılım cüzdanı kullanan son kullanıcılar ne yapmalı?

Kullanıcılar etkilenen uygulamaları kullanmaktan kaçınmalı, mümkünse işlemleri donanım cüzdanıyla doğrulamalı ve uygulamanın güvenilirliği doğrulanmadan fonlarını daha güvenli yerlere aktarmamalıdır.

Borsalar bu saldırıda fon kaybetti mi?

Kamuya açık raporlarda çalınan miktar yaklaşık 50 $ ile sınırlı görünüyor. Ancak, borsalar ve saklama platformları, denetlenmemiş kütüphaneleri kullandıkları sürece risk altındadır.

Önemli Noktalar

• Tedarik zinciri riski ciddi ve gerçek: Küçük çaplı kayıplar bile bağımlılık yönetimindeki sistemsel zayıflıkları gösteriyor.
• Hızla harekete geçin: Geliştiriciler, bağımlılıkları denetlemeli, güvenli sürümleri sabitlemeli ve clipper kodunu tamamen temizlemek için yeniden derleme yapmalı.
• Varlıkları koruyun: Donanım cüzdanları ve işlem doğrulama özellikleri, adres değiştirme saldırılarına karşı kullanıcıları korur.

Sonuç

NPM tedarik zinciri saldırısı, yazılım cüzdanlar ve borsalar için bağımlılıklardaki kompromislerin devam eden risklerini vurguluyor. COINOTAG, acilen bağımlılık denetimleri, sabitleme işlemleri ve yeniden derlemeler yapılmasını öneriyor. Dikkatli olun, güncellemeleri doğrulayın ve yüksek değerli işlemler için donanım cüzdanı ile imzalamayı tercih edin. Yayınlanma: 2025-09-09. Güncelleme: 2025-09-09.