URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 135486
[ Назад ]
Исходное сообщение
"Атакующие внедрили вредоносный код в web3.js, официальный JavaScript-клиент для криптовалюты Solana"
Отправлено opennews , 04-Дек-24 10:22 
Выявлен факт подстановки вредоносного кода в библиотеку @solana/web3.js,  насчитывающую в репозитории NPM  400-500 тысяч загрузок в неделю. Вредоносные изменения были включены в состав выпусков web3.js 1.95.6 и 1.95.7, и сводились к интеграции кода для отправки на внешний сервер закрытых ключей. Целостность проекта восстановлена в выпуске 1.95.8. Разбор причин инцидента пока не завершён, но по предварительным данным вредоносные релизы были размещены через компрометацию учётной записи сопровождающего, используя методы социального инжиниринга и фишинга...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=62339

Содержание
Сообщения в этом обсуждении
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Жироватт , 04-Дек-24 10:22 
Никогда такого не было - и вот опять.
А ТЫ уже обновил все свои лефтпады из нпм на свежую протрояненную версию с отравленными зависимостями зависимостей зависимостей?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Криптокибер , 04-Дек-24 10:36 
Только как получить эту вашу Солану. Как ввести, как вывести? С виндовза можно? Там будут трояны?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 10:41 
Какая винда? Кастомный дистриб собирай на базе LFS, спокойней будешь. Миллионы первому встречному доверять - глупо.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено 1 , 04-Дек-24 10:48 
Главное - не забывать обновляться ...
Сколько там уязвимость действовала ? Как раз чтоб ключики утекли ?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:25 
Ты забываешь что помимо тысячи глаз в опенсорсе есть тысячи рук, которые так и норовят вставить свой троян или вульн в каждую либу. А тот же lfs не даёт гарантии безопасТности.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:09 
Ты забываешь, что абслолютную гарантию не даёт никакое творение рук человеческих. Если и даёт гарантию, то с какой-то вероятностью <100%. Так что и без третьих рук.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено есть такая штука называется вероятность. , 04-Дек-24 14:04 
Есть такая штука, сейчас будет сложно, называется вероятность. Так вот в закрытый коммерческий проект где все либы свои левый васян ничего внедрить не может как бы он не хотел.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено 1 , 04-Дек-24 14:17 
Зато правый Петя навтыкает туда троянов, по самое нихачу.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:51 
Петя действовал по команде и внедрил туда правильный согласованный троян. А Вася получил от менеджера линейкой по рукам и имел неприятный разговор с господином мейджером за бутылочкой виски только попытавшись подумать внедрить свою поделку.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Fear of the dark , 05-Дек-24 03:32 
Ха-хаха

Правильная дырка внедренная производителем как правило глупа и заинтересованными личностями находится быстро. Так что правильный троян от Пети пашущего на галере в итоге будет доступен всем.

А вот неявные дырки скорее всего сложнее, именно потому что они не явные даже для разрабов с галеры. И их эксплуатация доступно только элите.

Вот мастдай состоить весь из дырок от производителя. Ссогласованных с ЦРУ и НСА

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Bottle , 05-Дек-24 04:59 
Не только согласованных (в виде телеметрии и прочего шпионажа), но и случайных, т.к. в винде всё ещё находится код двадцатилетней давности, компилятор они свой меняет, естественно, он может что-то сломать под капотом, меняя undefined behaviour.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 15:00 
Для этого ему придется войти в сговор с командой, тк это не попенсорс где васян может делать PR раз в сто лет.
Но! Даже если будет заговор на уровне команды, то паспортные данные и адреса всех этих деятелей известны.
В случае чего фирма с радостью передаст их полиции, которые их могут даже в тюрячку посадить.
Ну или коллеги просто сходят в гости и набьют физиономии)

А вот в опенсорсах считается нормой, когда критическая инфраструктура пишется непонятными анонами без роду и племени.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено ИмяХ , 05-Дек-24 08:31 
>>Как ввести, как вывести

Никак. Это не настоящие деньги, а всего лишь циферки на компьютере. Единственный способ - найти такого же лоха, который купит у тебя эти циферки за настоящие деньги.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Зануда , 08-Дек-24 23:00 
Но ведь "настоящие деньги" это тоже либо бумажки и кусочки металла, не имеющие ценности сами по себе, либо циферки на компьютере банка.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено нейм , 31-Дек-24 11:11 
Металл, бтв, ценность все же имеет. Возможно не такую как номинал, но все же.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 10:42 
Ты не понял, "качай мне все зависимости" это современно плюс js безопасно работает с памятью!
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 11:19 
Причем здесь зависимости зависимостей? Это официальный клиент. Примерно как если бы дыра появились в libpq.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:27 
Официальный клиент может быть и зависимостью и зависимостью зависимости.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 15:29 
> Официальный клиент может быть и зависимостью и зависимостью зависимости.

Автор вспомнил про leftpad, который буквально был модулем на одну функцию, что сломало куче людей пакеты. Здесь же речь идет не о supply chain attack на какой-то мелкий модуль в цепочке зависимостей, а про компроментацию окружения разработчика проекта и вставку бекдора. Что может случиться буквально с кем угодно, как показала история с xz. Поэтому все и рофлят с пердежа про leftpad, потому что в данном случае он ваще не в тему.

А то что клиент криптобиржи может быть чейто зависимостью это очень странный заход. Предлагается в каждом проекте писать весь API заново? Это шиза.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 16:50 
Да в критических задачах и в критических инфраструктурах все пишется заново. Представь себе.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 18:48 
> Да в критических задачах и в критических инфраструктурах все пишется заново. Представь
> себе.

Начинается... В Сбербанке (достаточно критичная финансовая организация?) никто не пишет свой libpq чтобы к постгресу подключиться. Все просто берут libpq из репозиториев. Потому что наркоманов, пишущих все самостоятельно, можно встретить только на опеннете, потому что они делают это в своих влажных фаннтазиях. Все остальные используют какую-нибудь монгу из репов Убунты и просят ещё.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 21:48 
В Сбербанке ты не можешь просто так использовать зависимость. Только если её уже одобрили и добавили в внутренний репозиторий.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 22:19 
> В Сбербанке ты не можешь просто так использовать зависимость. Только если её
> уже одобрили и добавили в внутренний репозиторий.

И? Это не значит что её сами руками написали, это значит что её проаутировали в меру сил и возможностей. И это ваще никак не противоречит логике работы NPM -- у тебя стоит корпоративное зеркало, через который идет весь CI/CD. Если на зеркале нет проаутированной версии -- у тебя тупо софт не собирается. Победа. Но опеннетчики про это не знают и продолжают влажно фантазировать как в Больших и Сильных корпорациях накачанные программисты переписывают весь мир по сотне раз за год.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 20:16 
> Да в критических задачах и в критических инфраструктурах все пишется заново. Представь себе.

И какие гарантии что сотрудники там - все белые и пушистые, никогда не лажаются, и вообще? А, никаких?! И чем тогда это лучше предыдущей схемы?...

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:27 
И люди проглядевшие бекдор в ХЗ либе или Bvp47 запрещают жабаскриптерам ковыряться в носу?
Чем этот лефтпад отличается от 100500 библиотек и зависимостей, которые обновляются в любом дистрибутиве?
Воистину "в чужом глазу песчинку разглядывают, когда в своем уже ЖинТяны с бревнами"
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:39 
>А ТЫ уже обновил все свои лефтпады из нпм на свежую протрояненную версию с отравленными зависимостями зависимостей зависимостей?

А ты до сих пор сидиш на зависимостях, к которым уже эксплоиты успеил написать?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 10:23 
> JavaScript
> web3
> криптовалюты
> вредоносный код

Бинго?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:22 
за определенную сумму (например $10 000) я тоже могу сказать что мою учетку скомпроментировали....
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ivan_83 , 04-Дек-24 20:55 
Фу позорник за такой мизер так рисковать репутацией и может даже свободой.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:38 
Когда XZ скомпрометировали, тоже JavaScript был виноват? Или это другое, понимать надо?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:42 
> Когда XZ скомпрометировали, тоже JavaScript был виноват? Или это другое, понимать надо?

Конечно другое!
Как можно сравнивать дырень которую внедрили почти во все дистрибутивы с какой-то крипрой.
Крипта это опаснее и важнее!

Зато качали на с какого-то NPM, а тарболчики с самого репизитория!
Надежнее же не бывает!


"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 16:21 
XZ тоже был тарболчиком с самого репизитория.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено есть такая штука называется вероятность. , 04-Дек-24 14:06 
По статистике да.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 10:39 
Я конечно не эксперт с необходимой экспертизой, но ...

почему (сторонний) клиент напрямую работает с приватными (секретными) ключами?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:28 
Как ты предлагаешь это делать накривую?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:12 
Через разделение процессов, клиент - сервер?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:21 
Это ещё на каждого бота свой промежуточный сервер? Это сложно и противоречит принципу децентрализованности.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:08 
Локальное разделение, на компе у пользователя кошелька или чего там ещё. Код на JS говорит другому процессу, вот это подпиши, а не сам берёт ключ и подписывает.43
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:52 
Оверинжиниринг и сложно.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Анониссимус , 04-Дек-24 15:05 
Ещё и бесполезно. От этой уязвимости может и спасёт, но монетки всё равно не будут в безопасности.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено нах. , 05-Дек-24 02:14 
ну просто автору троянца придется через нескучный api "вот это подписать". (вот это - "а переведи-ка все денежки, нажитые бесчестным трудом, воооон на тот неведомый кофелефек")

Наверное задумка в том что он расплачется и убежит.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:59 
Ты сейчас описал концепцию холодных ключей, который есть рекомендованный способ для хранения значимых сумм в крипте.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 05-Дек-24 01:15 
Холодных кошельков, а не ключей.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 19:40 
Обычно это осуществляется через провайдера безопасности. В виде запроса - клиент ввел пару логин-пароль - это верно? Здесь - зашифруй данные ключом клиента. Секрет хранится инфраструктурой безопасности и только она имеет прямой доступ к секрету.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:46 
Если вам действительно нужен ключ, то вам нужен и публичный и приватный. Вы же не только шифровать, но и расшифровывать собираетесь?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 17:26 
Нужен транзакционный (сессонный) ключ - приватный и публичный. Запросили транзакционный приватный ключ, сгенерировали публичный. Подписали транзакцию, уничтожили приватный ключ. Если и украли приватный ключ транзакции, потеряли только транзакцию.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 20:50 
Чтобы расшифровать сообщение от другого нужен Его публичный ключ, который выдается визави.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено ryoken , 04-Дек-24 10:39 
>>работающих с зарытыми ключами

уху

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено RM , 04-Дек-24 11:13 
Так отсылка к Буратыно же, классика...
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 10:56 
Если вы загружаеты свой приватный ключ на вебприложуху, то тут проблема не в жабаскрипте.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Соль земли , 04-Дек-24 11:09 
Кому-то не пофиг на криптовалюты? Которые могут обвалиться в любое мгновение.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:13 
Так как бежать больше некуда, бегут в крипту. Обвал крипты означает пи...дец деньгизму.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Наибулина , 04-Дек-24 11:30 
Молодец. Храни всё в рубле. Он обваливается не любой, а только в нужный момент. Как я скажу.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:08 
А!!! Такой хитрый ход, что бы не хранили, а тратили или вкладывали в бизнес.

А по поводу перегретости экономики ты Ж:) для вида верещишь?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:27 
>Как я скажу.

Поправил: Как тебе скажут.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:53 
Храни сбережения в рублях! (А доллар не в коем случае!)
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено nume , 04-Дек-24 16:34 
Ну-ну, сколько уже говорят что биткоин всё? А он всё растёт и растёт (и не только он).
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 17:04 
С битком главное дождаться, когда он "ну вот теперь он точно фсе, ха ха, а мы предупреждали", и в этот момент покупать.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:24 
Дурики какие-то... зачем им какая-то крипта?
Вот лучше бы сломали kernel.org и сопутствующую инфру как раньше.

> распространялись через NPM во вторник 3 декабря c 18:20 по 23:25

Всего-то? Жалкие 11 часов?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 11:40 
Зачем мучиться с kernel.org, когда написал простенький скрипт для перечисления на свой кошелёк и в продакшон.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:10 
> c 18:20 по 23:25
> 11 часов

Раз десять перепроверил, пытаясь понять где я мог ошибиться в вычитании.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:32 
Четверичная система вычислений - это круто!

Спалился рептилоид!

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 19:58 
Откуда 8 в четверичной системе? (0 .. 7 )
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ты не понял , 04-Дек-24 17:15 
Это время засекалось во время полета вокруг Земли. Такое время может иметь любые значения, но результат один - 11 часов и точка!
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Бывалый Смузихлёб , 04-Дек-24 11:27 
Т.е никакой проверки заливаемого релизного кода в проекте нет ?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 12:22 
Мы всегда проверяем.

/me смех

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 13:43 
Так проверял тот же, кто и релизил. Предлагаешь ему свой же бекдор отрежектить?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 14:52 
Так отрежектил же. Но есть ньюанс.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 15:43 
А что за ключи отправляют? Я думал берут ~/.ssh/*, а по скриншотам там как будто... ключи от самой соланы берут? С кошельков чтоб воровать?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Хрю , 04-Дек-24 17:34 
А будет ещё хуже. С нуля писать это не вариант, в большинстве случаев заказчик просто пошлет нафиг, а аудит 100500 зависимостей, которые являются чьими то зависимостями тоже задача невыполнимая.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 18:00 
1. Создаю шорт на солану.
2. Добавляю в репизиторий соланы хорошо заметную уязвимость. Заметность нужна, чтобы быстро обнаружили и не пришлось платит проценты за перенос шорта на следующие дни.
3. Жду когда находят уязвимость. Либо "нахожу" её сам и быстрее бегу писать новость на опеннете.
4. С распространением новости, котировка соланы стремительно падает вниз.
5. Закрываю шорт.
6. Еду в Вегас транжирить полученный куш.
7. Нажираюсь в хлам.
8. Женюсь на какой-то блондинке.
9. Просыпаюсь утром с больной головой.
10. Обнаруживаю блондинку, пишущую заявление о разводе.
11. Хорошо, что весь куш я уже промотал!
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 18:23 
> Создаю шорт на солану.

Зашел на первый попавшийся сайт с курсом соланы. 1 декабря упала с ~235 до ~225 и вернулась обратно 3 декабря, когда официально обнаружили. Как-то в другую сторону всё работает.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 18:26 
Вообще незначительно упала,в пределах волатильности
Это не та новость которая вызывает массовый сброс монет
Это новость для гиков с оупеннет и прочих похорониксов
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 18:36 
Речь не про последнюю уязвимость.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 05-Дек-24 16:56 
Вот если бы ты смог широко распространить по миру "новость из достоверных источников!", что Кучерявый Сэм смог из тюрьмы дотянуться до своего "тайного грандиозного кошелька" с "мильярдами соляны" и сейчас вот-вот всё где-то (интересно, где?) распродаст... И если бы это еще совпало с мощной коррекцией битка (падения этак до 80к) - то да, может и прокатило бы. Если бы ты еще и плечо не меньше 25-го выставил. Но сейчас, или, только из-за этого из новости...
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 18:25 
> JavaScript SDK для работы с криптовалютой Solana из приложений,
> запускаемых в браузере или использующих такие платформы, как Node.js и React Native.

Казалось бы, что в этой схеме с такими программистами может пойти не так, если там еще и бабки крутиться будут...

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 19:04 
Это цена отсутствия чучхе. Кто не хочет компрометации - тот пишет всю экосистему сам, с нуля. Начиная от выпечки чипов. И литографического оборудования. И вообще с собственных вооружённых сил для защиты от тех, кто считает, что бекдоры должны быть во всём, а к тем, кто не согласен, отправляет убедительных людей с металлическим убеждателем. Да, это дорого. Безопасность в принципе не может быть дешёвой: обезапашивают то, что стоит дорого, и если преодоление безопасности хоть вполовину будет дешевле стоимости защищаемого по невозвратным издержкам, то это уже 100% рентабельность на языке экономики. Ежели же все издержки возвратные, то стоимость того, что берут бесплатно, вообще роли не играет, выгодно преодолевать безопасность при любом раскладе.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 19:10 
> Это цена отсутствия чучхе. Кто не хочет компрометации - тот пишет всю экосистему сам, с нуля.

Правда никто этого никогда не делает, потому что деньги считать умеют. Но когда это останавливало влажных опеннетчиков?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 19:27 
> Правда никто этого никогда не делает

Вы заблуждаетесь. Крупные проекты (не стартапы) пишут всё с нуля. Фейсбук, ВК, Яндекс, Амазон... тысячи их!

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 19:40 
Посмешил. Все перечислинные начинали что-то делать с нуля только уже став монополистами и лопаясь от капитализации. И то, только потому, что когда в компании тьма продакт менеджеров, им полюбому нужно что-то придумать, чтобы показать руководству. А то их уволят.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 04-Дек-24 20:00 
Ага, ваще все. Ни одного стороннего компонента не осталось, даже линукс свой написали, черти. Ох лол.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 23:20 
Линукс у них свой, если все ключевые сотрудники под козырёк берут, когда надо. Что не своё - то можно с потрохами и обслуживающим персоналом купить, и станет своим.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Ананимус , 05-Дек-24 10:18 
Напомни, как давно яндекс купил openssl?
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 20:04 
> Вы заблуждаетесь. Крупные проекты (не стартапы) пишут всё с нуля. Фейсбук,
> ВК, Яндекс, Амазон... тысячи их!

И кто из них написал с ноля ну хотя-бы операционку для своих серверов?

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено anonymous , 04-Дек-24 20:50 
дело пишешь, у японцев своё чучхе было даже еще раньше северокорейцев - там в основе идея что качественным может быть только то что сам полностью контролируешь. Ну и еще что нельзя врать самому себе, разбираться в чём недостаток и его устранять. А у нас под одобрямсы все шильдикостроение и "ахаха из стиралок выковыриваем ахахах да да из стиралок ой ржака" и в итоге 0 промышленности газ в обмен на бусы и все довольны.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено нах. , 04-Дек-24 23:12 
> дело пишешь, у японцев своё чучхе было даже еще раньше северокорейцев -

В смысле, оно там кончилось раньше чем началась северная корея.

> сам полностью контролируешь. Ну и еще что нельзя врать самому себе,
> разбираться в чём недостаток и его устранять. А у нас под

тоетин датчик заслонки гнусно хихикает над культурными легендами.

> из стиралок ой ржака" и в итоге 0 промышленности газ в
> обмен на бусы и все довольны.

Если бы газ и дальше был в обмен на бусы, а не вяличие - я бы тоже был совершенно доволен. А без знания что такое "кароси" я и дальше бы обошелся.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено RANDOMIZE USR 15616 , 04-Дек-24 19:42 
Вот так мифы о "независимости" и "неподконтрольности" криптовалют разбиваются о вопрос: "А кто, собственно, правит их исходники?"
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 20:39 
> Solana занимает пятое место по размеру капитализации
> которые распространялись через NPM во вторник 3 декабря c 18:20 по 23:25
> версий web3.js 1.95.6 и 1.95.7

Меня одного это смущает что-ли? 5ая по размеру _виртуальная экономика_ за 5 часов пару раз апнулась..

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 20:40 
ааа.. там 1.95.х.. тогда понятно.
"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено Аноним , 04-Дек-24 22:08 
>>  Также рекомендуется ... изучить содержимое каталога node_modules

Повеселило) Это веселит даже если видел лишь node_modules от TODO app например на ангуляре.

"Атакующие внедрили вредоносный код в web3.js, официальный Ja..."
Отправлено OpenEcho , 05-Дек-24 11:51 
> используя методы социального инжиниринга и фишинга.

Митник бессмертен !