Phantom 已確認其未受到 Solana 函式庫（即 Solana/web3.js）中發現的漏洞的影響。

Phantom 是在 Solana (SOL) 區塊鏈上運行的錢包提供商，已確認最近在 Solana/Web3.js 庫中發現漏洞後，它是安全的。根據 X 上發布的聲明，Phantom 安全團隊驗證了該庫的受損版本（1.95.6 和 1.95.7）永遠不會在其基礎設施中使用，從而向用戶保證其平台是安全的。 

任何使用 @solana/web3.js、版本 1.95.6 和 1.95.7 的人都會受到洩漏私鑰的秘密竊取者的威脅。如果您或您的產品正在使用這些版本，請升級到1.95.8（1.95.5 不受影響）如果您運行的服務可以將地址列入黑名單，請使用...

— trent. sol (@trentdotsol)12 月Trent.sol 在他的X 個人資料中寫道，2024 年1 月3 日，請勿使用@solana/web3.js 版本1.95.6 和1.95.7。您可能也喜歡：Celcius 創辦人因詐欺指控認罪

今天早些時候，Solana 開發人員 Trent Sol 就受損的程式庫向用戶發出警告。他告知用戶，這些版本可能會使用戶面臨秘密竊取者攻擊的風險，這些攻擊能夠洩露用於存取和保護錢包的私鑰。 Trent 敦促使用受感染版本的產品和開發人員應升級至版本 1.95.8。但是，先前的版本（例如 1.95.5）不受這些問題的影響。 

Phantom 不受此漏洞的影響。我們的安全團隊確認我們從未使用過被利用的@solana/web3.js 版本https://t.co/9wHZ4cnwa1

— Phantom ( @phantom) 2024 年12 月3 日Phantom 承認它不會受到solana/web3.js 漏洞的影響。 Solana 生態系統解決了 Web3.js 漏洞

Solana 生態系統已經ck 回應以解決該漏洞。 Drift、Phantom 和 Solflare 等重要項目已告知其社區，他們不會受到影響，因為他們要么沒有使用受損版本，要么有其他安全措施來確保其安全。也敦促生態系統的開發人員和專案檢查其依賴關係並更新其庫，以確保資金和數據的安全。 

漏洞的增加

Trent Sol 對漏洞的揭露反映了區塊鏈生態系統經常必須應對的更大的安全挑戰。取證分析顯示，該庫的損壞版本包含隱藏命令，旨在捕獲私鑰並將其傳輸到名為 FnvLGtucz4E1ppJHRTev6Qv4X7g8Pw6WPStHCcbAKbfx 的錢包。 Datadog 的雲端安全研究員 Christophe Tafani-Dereeper 強調了 Bluesky 後門的複雜性。 

獨家：v1.95.7中插入的後門增加了一個「addToQueue」函數它透過看似合法的 CloudFlare 標頭洩露私鑰。然後將此函數的呼叫插入到（合法）存取私鑰的各個位置。

— Christophe Tafani-Dereeper (@christophetd.fr) 2024-12- 03T23:47:18.004Z 開發人員 Tafani-Dereeper 對solana/web3.js 漏洞。 您可能也喜歡：「比特幣耶穌」羅傑·維爾(Roger Ver) 對抗起訴並指責美國政府越權

此類風險已變得越來越普遍，黑客新聞(The Hacker News) 報道的今年早些時候涉及Python 套件的惡意軟體包事件就證明了這一點索引，俗稱PyPl。該軟體包「solana-py」偽裝成合法的 Solana Python API，竊取 Solana 錢包金鑰並將其洩漏到攻擊者控制的伺服器。它還利用了命名 sim欺騙開發者的詭異行為，在被刪除之前已獲得 1,122 次下載。

了解更多：DePIN 出了什麼問題以及如何修復它 |意見