POST-MORTEM SITUAZIONE LEDGER Prima di tutto volevo ringraziare tutte le persone che ieri hanno contribuito a far girare la voce, mettendo like, condividendo o scrivendo post. Grazie a tutti, sono sicuro che almeno una manciata di persone della community italiana si siano salvate grazie a questo. Siete stati magnifici. Ad alto livello, che è successo ieri? IL LEDGER FISICO NON E' STATO COMPROMESSO, la falla era in una libreria utilizzata per connettere i wallet, che viene caricata quando vi appare il pop-up su tutte le dapp per connettere il wallet. Problema nato da un account github di un ex dipendente, che al 99% è stato compromesso, e che aveva ancora tutti i poteri per pubblicare roba sulla repository github di ledger, vergognoso. Vergognoso non per questo povero ragazzo, ma per ledger stessa. Cosa succedeva quando subivi l'hack? Ti appariva un pop-up, fatto in maniera terribile, sopra il pop-up originale per connettere il wallet. Una volta cliccato sul fasullo ti veniva chiesto di firmare transazioni e successivamente ti veniva drainato il wallet. Ora, se avete ricevuto il pop-up, io penserei anche ad una eventuale pulizia del pc. Il pop-up appariva perchè il tuo browser riceveva uno script malevolo e lo runnava, non sappiamo cosa altro ci poteva essere nello script. Cosa è successo veramente? Per sapere cosa è successo davvero dobbiamo elencare gli errori di Ledger. Errore numero uno, un dipendente che non lavorava più da mesi aveva ancora accesso in lettura e scrittura a una repository di github utilizzata da quasi tutti. Errore numero due, un dipendente, senza il permesso di nessuno, poteva scrivere codice non testato su questa repository. Errore numero tre, quando ti connetti a un sito web, per farlo nella maniera più veloce possibile, le compagnie possono avere server sparsi per il mondo, questi li chiameremo CDN. Il codice di github è stato pubblicato direttamente sui CDN e veniva fornito a tutti quelli che interagivano con la libreria wallet connect di ledger. Non so come mettere a parole quanto questo sia una pratica terribile. Ma lo è, è forse l'errore più grande commesso da ledger. Ora siamo al sicuro? Lato ledger si, però ci potrebbero essere ancora delle dApp colpite dalla cosa, vi direi come regola generale per i prossimi giorni di non fare nulla se non strettamente necessario e anche di pulire la cache. Ma soprattutto ragazzi, CONTROLLATE QUANDO FIRMATE UNA TRANSAZIONE. Come evitare situazioni del genere in futuro? Premetto che questo è prettamente relativo al come evitare questo attacco, ma prendendo queste misure di sicurezza potreste esporvi ad altri attacchi, quindi pensateci. C'è una estensione in particolare che ha immediatamente realizzato che questo fosse uno scam e ha salvato tantissime persone. web3antivirus, complimenti agli sviluppatori. Anche il wallet di Rabby avvisava gli utenti, ultimo da menzionare, metamask, l'interfaccia utente non ti avvisava, ma erano uno dei pochi provider che non si sono fidati di prendere per buona la libreria del CDN e la avevano hardcodata alla versione 1.1.2 che sapevano essere valida. Questo non deve più succedere, siamo andati vicini alla catastrofe ieri, la abbiamo davvero sfiorata. Se non ci fossero stati i white-hat ad avvertire tutti e il pop-up fosse stato realizzato meglio, migliaia di persone sarebbero state drainate. Bene come è andata, ma la situazione deve cambiare. Grazie a tutti, fate sempre attenzione.