Solana è una delle piattaforme blockchain più popolari, supportando oltre 3.000 applicazioni decentralizzate (dapp) e classificandosi costantemente tra le principali blockchain per valore totale bloccato (TVL), che supera i $10 miliardi. Attualmente non ci sono prove di sfruttamento attivo né un proof-of-concept pubblico per CVE-2024-54134. Tuttavia, la presenza di pacchetti malevoli capaci di sottrarre chiavi private evidenzia la necessità di un’azione urgente per proteggere applicazioni e utenti.

Riassunto tecnico

CVE-2024-54134 evidenzia un grave attacco alla supply chain dell’ecosistema Solana. Versioni non autorizzate e malevole della libreria JavaScript @solana/web3.js (versioni 1.95.6 e 1.95.7) sono state pubblicate a causa della compromissione di un account con accesso alla pubblicazione. Queste versioni erano progettate specificamente per sottrarre materiale relativo a chiavi private, consentendo agli attaccanti di sottrarre fondi da dapp e bot Solana che gestiscono direttamente le chiavi private.

Raccomandazioni

Aggiorna Immediatamente: Assicurati che la tua applicazione utilizzi la versione 1.95.8 o successiva della libreria @solana/web3.js.