账本连接套件遭遇数据泄露：黑客窃取48.4万美元，公司推出1.1.8版本。

最新且安全的1.1.8版本的Ledger Connect Kit目前正在根据Ledger的最新更新自动传播。公司建议在恢复使用Ledger Connect Kit之前等待24小时。这一预防措施是因为安全漏洞的详细时间线如下：最初，一次钓鱼攻击于中欧时间今天早些时候针对了一名前Ledger员工的NPMJS账户。

Ledger表示，该漏洞使攻击者发布了一个篡改版本的Ledger Connect Kit（1.1.5至1.1.7版本），该版本操纵了一个欺骗性的Walletconnect项目，将资金重定向到黑客的钱包。在意识到这个问题后，Ledger的技术和安全团队在40分钟内迅速部署了解决方案，尽管恶意文件在公司披露后大约活跃了五个小时。

资金被挪用的估计时间不到两个小时。作为对此事件的回应，Ledger表示与Walletconnect合作，关闭了这个恶意项目，并发布了经过验证的Ledger Connect Kit版本1.1.8。Ledger进一步解释说，使用NPM上的Ledger Connect Kit的开发团队已被限制为只读访问，以防止直接包更新。Ledger指出，Tether已经冻结了恶意行为者的地址，该钱包现在可以通过Chainalysis软件看到。

链上分析平台Lookonchain报告称，从钱包中被盗了484,000美元。然而，Ledger尚未确认这些数字，但披露了钱包地址：“0x658729879fca881d9526480b82ae00efc54b5c2d”。在撰写本文时，该钱包目前持有254,000美元。

这家硬件钱包制造公司正在积极与受影响的客户进行沟通，并与执法部门合作追踪攻击者。此外，Ledger详细说明正在分析这次利用漏洞，以防止未来的攻击。Ledger重申了清晰签名的重要性，并建议使用额外的Ledger mint钱包或手动交易解析进行盲目签名。