সতর্কতা | KuCoin সুরক্ষা দল বিনিময় ব্যবহারকারীদের লক্ষ্য করে সরবরাহ শৃঙ্খল আক্রমণ

2025 সালের 12 ফেব্রুয়ারি, Kucoin সিকিউরিটি দলটি তাদের আত্ম-উন্নয়নকৃত সিকিউরিটি স্ক্যানিং প্ল্যাটফর্মের মাধ্যমে একটি সাপ্লাই চেইন আক্রমণ শনাক্ত করেছে, যা প্রধান কেন্দ্রীয় এক্সচেঞ্জগুলি (CEX) এর ব্যবহারকারীদের লক্ষ্য করে। দলটি দ্রুত প্রতিক্রিয়া দেয় এবং নির্ভরতা প্যাকেজে আবদ্ধ কুখ্যাত আচরণগুলি বিশ্লেষণ করে। বর্তমানে, কুখ্যাত নির্ভরতা শত শতবার ডাউনলোড করা হয়েছে। Kucoin এর সিকিউরিটি দলটি কুখ্যাত নির্ভরতা NPM এর সাথে প্রতিনিধি দলে প্রতিনিধি দলে প্রতিনিধি দলে প্রতিনিধি দলে প্রতিনিধি দলে প্রত 

নমুনা আচরণ 

Kucoin-এর নিরাপত্তা স্ক্যানিং প্ল্যাটফর্ম অফিসিয়াল NPM রিপোজিটরিতে Kucoin API SDK হিসাবে আড়াল করা একটি নির্ভরতা প্যাকেজ শনাক্ত করেছে। npm এর মাধ্যমে ইনস্টল করার সময়, এই প্যাকেজটি ব্যবহারকারীর সার্ভার বা লোকাল মেশিনে সংরক্ষিত গোপন কীগুলি পুনরুদ্ধার করে এবং তাদের ক্ষতিক http://ihlkoqayjlegsltkrlhf1sg6hpfdbmrgy[.]oast[.]fun

নমুনা বিশ

কুকয়েনের স্যান্ডবক্স স্ক্যানিং প্ল্যাটফর্মের মাধ্যমে বিশ্লেষণ থেকে জানা গেছে যে এই দুর্নীতিমূলক নির্ভরতা NPM সংস্থানকেন্দ্রে কুকয়েন এবং ক্র্যাকেনের সাথে সম্পর্কিত SDK নির্ভরত

এই ধরনের নির্ভরতা ব্যবহারকারীদের মিথ্যা নির্ভরতা প্যাকেজ ইনস্টল করতে বাধ্য করার জন্য গোপনীয় নাম ব্যবহার করে। ইনস্টলেশন প্রক্রিয়ার সময়, তারা ক্ষতিকর কমান্ড সন্নিবেশ করায় যা ব্যবহারকারীর স্থানীয় পরিবেশ বা সার্ভার থেকে গোপন কী ফাইলগুলি বাহি

অপরাধী আচরণের নির্দিষ্ট ট্রিগার পয়েন্টটি নিম্নরূপ: অপরাধী কমান্ডটি ডিপেন্ডেন্সি প্যাকেজের প্রি-ইনস্টলেশন পর্যায়ে নির্বাহ করা হয়।

এই দুষ্টু উৎসের রিপোজিটরির সমস্ত 10টি নির্ভরতা প্যাকেজ একই আচরণ প্রদর্শন করে। 

আক্রমণকারী প্রোফাই 

NPM সংস্থানের সাথে আক্রমকের সম্পর্কে নিম্নলিখিত নিবন্ধনের বিবরণ খুঁজে পাওয়া গেছে: 

ব্যবহারকারীর নাম: superhotuser1
ইমেইল: tafes30513@shouxs[.]com 

verifymail.io-এর মতে, shouxs[.]com ডোমেইনটি স্থায়ী ইমেল সেবাগুলির সাথে যুক্ত, যা হামলাকারী প্রতিরোধক ট্র্যাকিং প্রযুক্তি সম্পর্কে অভিজ্ঞ হ্যাকার হিসাবে অভিজ্ঞ হিসাবে নির্দেশ করে।

বিপদের বর্ণনা 

সরবরাহ শৃঙ্খল আক্রমণগুলি গুরুতর ঝুঁকি সৃষ্টি করে। যেহেতু অনেক প্রকল্প বিভিন্ন তৃতীয়-পক্ষের প্যাকেজের উপর নির্ভর করে, তাই তাদের প্রভাব বৃদ্ধি পায়। যখন একটি দুর্নীতিমূলক প্যাকেজ প্রকাশিত হয় এবং ব্যাপকভাবে ব্যবহৃত হয়, তখন এর প্রভাব দ্রুত ছড়িয়ে পড়ে। দুর্নীতিমূলক নির্ভরতা প্রবণতা গুরুতর ব্যবহারকারী তথ্য, যেমন পরিবেশ চলক, API কী এবং ব্যবহারকারী তথ্য চুরি করতে পারে, যা তথ্য লিকের দিকে পরিচালিত করে। তারা ফাইল মুছে ফেলা, তথ্য এনক্রিপ্ট করা (রেঞ্জওয়ার) বা সিস্টেম ব্যাহত করার মতো ধ্বংসাত্মক কাজও সম্পাদন করতে পারে। আরও বেশি 

KuCoin এবং Kraken কে লক্ষ্য করে কুকর্মকারী নির্ভরতা ব্যবহার করে ব্যবহারকারীদের লগইন কী চুরি করে। যদি ব্যবহারকারীরা তাদের ব্যক্তিগত কম্পিউটার বা সার্ভারগুলিতে ব্যবহারকারীর নাম এবং পাসওয়ার্ড ব্যবহার করে লগইন � 

KuCoin-এর নিরাপত্তা দল এই সতর্কতা জারি করার সময়, কুখ্যাত নির্ভরতা শত শতবার ডাউনলোড করা হয়েছিল। ডাউনলোডের পরিসংখ্যান নিম্নরূপ: 

kucoin-production, ডাউনলোড: 67
kucoin-main, ডাউনলোড: 70
kucoin-internal, ডাউনলোড: 63
kucoin-test, ডাউনলোড: 69
kucoin-dev, ডাউনলোড: 66 

kraken-dev, ডাউনলোড: 70
kraken-main, ডাউনলোড: 65
kraken-production, ডাউনলোড: 67
kraken-test, ডাউনলোড: 65
kraken-internal, ডাউনলোড: 64 

IOC 

আক্রমণকারী মারাত্মক নির্ভরতা আপলোড করার সময় থেকে কুকয়েনের নিরাপত্তা দল এটি শনাক্ত করার মুহূর্ত পর্যন্ত, এক দিনের চেয়ে কম সময় অতিবাহিত হয়েছে। কুকয়েনের নিরাপত্তা দল ইতিমধ্যে এই সমস্যা NPM এর অফিসিয়াল দলের কাছে প্রতিবেদন করেছে, যদিও আরও তদন্ত এবং অপসারণ কিছুটা সময় নিতে পারে। এই সময়ের মধ্যে, কুকয়েন ব্যবহারকারীদের সতর্ক করে দেওয়া এবং অবর

ডিসক্লেইমার: আপনার সুবিধার্থে এই পৃষ্ঠাটি AI প্রযুক্তি (GPT দ্বারা চালিত) ব্যবহার করে অনুবাদ করা হয়েছে। সবচেয়ে সঠিক তথ্যের জন্য, মূল ইংরেজি সংস্করণটি দেখুন।