Ledger：正版且经过验证的Ledger Connect Kit版本1.1.8现可安全使用

金色财经报道，Ledger表示，正版Ledger Connect Kit 1.1.8版本已推送。确认Ledger和WalletConnect恶意代码已被停用。用户已可以安全使用Ledger Connect Kit，但建议等待24小时并清除浏览器缓存。 金色财经此前报道， Ledger表示，已识别并删除Ledger Connect Kit的恶意版本。

金色财经报道，Ledger在社交媒体上发文表示，已识别并删除了 Ledger Connect Kit 的恶意版本。现在正在推送正版版本来替换恶意文件。暂时不要与任何 dApp 交互。随着情况的发展，我们将随时向您通报情况，您的 Ledger 设备和 Ledger Live 没有受到损害。

金色财经报道，MetaMask在社交媒体上表示，已发现对Ledger Connect Kit的攻击，请停止使用dapp。用户在MetaMask Portfolio上执行任何交易之前，请确保已在MetaMask Extension中启用Blockaid功能，MetaMask Portfolio团队正在着手解决这个问题，并且已经准备好了一个补丁，将于今天发布。

金色财经报道，2023年12月14日 8:33 PM 慢雾安全威胁情报发现 @ledgerhq/connect-kit 遭受供应链攻击，攻击者在 @ledgerhq/connect-kit >1.1.4 的版本中植入了恶意的JS代码从而对加密货币用户发起钓鱼攻击。使用 @ledgerhq/connect-kit 版本 >1.1.4 的 Dapp 均受到影响，请注意排查代码中是否有使用到如下受影响版本。 影响版本范围： @ledgerhq/connect-kit 1.1.5 (攻击者在代码中进行留言) @ledgerhq/connect-kit 1.1.6 (攻击者在代码中进行留言并植入恶意的JS代码) @ledgerhq/connect-kit 1.1.7 (攻击者在代码中进行留言并植入恶意的JS代码) 慢雾安全团队建议，在没有官方明确修复前，请谨慎使用DApp进行交互操作。

金色财经报道，慢雾创始人余弦在社交媒体上发文表示，从代码编辑页面来看，本次 Ledger 代码库攻击团伙在 ledgerhq/connect-kit 1.1.5 版本就开始篡改了，但没有植入恶意代码，仅写入一些嘲讽信息。1.1.6 版本开始植入恶意代码，但可能有点问题，随后发布了 1.1.7 带恶意代码的版本。最终，黑客留言感谢了前段时间宣布停止服务的网络钓鱼工具包 Inferno Drainer。

金色财经报道，慢雾安全团队在对 Ledger Connect Kit 供应链攻击事件进行了深入分析，发现这次攻击事件是由知名的 Angel Drainer 钓鱼团伙发起的，并且 Angel Drainer 钓鱼团伙使用智能合约来管理恶意 JS 文件的访问域名，为了尽可能避免 Web3 用户遭受到钓鱼攻击导致的资产损失，慢雾安全团队联合 Scam Sniffer 团队通过 Angel Drainer 钓鱼团伙的一系列特征识别了上千个钓鱼网站，并将这些钓鱼网站反馈到 eth-phishing-detect 希望通过社区的力量一同维护 Web3 行业的生态安全。