gm! JS инфраструктура в очередной раз поддается атакам на криптанов.

В этот раз задели несколько старых системных JS пакетов – debug (357M установок в неделю) и chalk (299М установок в неделю) и пачку остальных, с помощью взлома Git одного из предыдуших мейнтейнеров. Можно прочитать полный репорт здесь от владельца взломанного аккаунта. Вкратце – взлом 2FA доступов к NPM через email.

Как это может задеть вас?

При обыкновенном подключении кошелька ничего без вашего ведома не произойдет.

Скрипт внедряется в любую страницу, содержащую JS код и проверяет наличие Ethereum кошельков (с помощью проверки `window.ethereum`), затем при попытке отправки любой транзакции через кошелек просто подменяет адрес получателя.

Уязвимым может оказаться буквально любой веб-сайт, который в течение последних пары часов обновлял свои зависимости и установил взломанную версию. На текущий момент с NPM уже удалили версию с багом

Кажется, что ближайшие пару дней лучше избегать подписи транзакций, либо быть максимально внимательным к адресу получения. Адрес злоумышленника – 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

Что сделать разработчикам?

Проверьте lock файлы, ведь взломанные пакеты по большей части служебные и могут не использоваться напрямую в проекте.

Учитывая то, что пакетов – много, лучше пройти grep c фильтром на строку кода:

grep -r "const _0x112" node_modules/

Обфусцированный скрипт оставили здесь, а тут немного больше деталей, как он работает под капотом.

Issues с предупреждениями и больше технических деталей:
https://github.com/chalk/chalk/issues/656
https://github.com/debug-js/debug/issues/1005

но tbh пока выглядит как самая грустная атака, кошелек абсолютно пустой 🥰

PERP DEX SEASON

Один из главных трендов 2025 года это перп дексы, ведь главное в продукте - это заработок, а протоколы которые позволяют торговать отлично это делают с помощью взимаемых комиссий

У нас уже был тренд на перпы, среди которых числились: Hyperliquid, Drift, Aevo, KiloEx и другие, большинство из них - загнулись, некоторые (Например Drift, продолжают держаться на плаву, но не сильно популярны), Hyperliquid же стал лидером в данном сегменте

Сейчас это направление заиграло новыми красками, пампят старые протоколы (MYX), успешно выходят новые(Avantis, Aster), а еще целая куча только собираются выходить. В данном посте я расскажу о перпах, которые отрабатываю лично

⏺️ Asterdex - токен у проекта запустился неделю назад и уже входит в топ-50 кмк, конечно благодаря прямой поддержке от CZ. Вчера анонсировали, что на 2 стадию аирдропа выделено 4% от токенов (≈320M $ASTER = ≈$550M) и продлится она до 5 октября 23:59 UTC

Не стану делать расчеты, так как подозреваю что они все равно в конечном счете окажутся неправильными, но думаю, что с таким огромным дропом нам нарисуют несколько иксов на затраченную комиссию. Главное открутить максимально выгодно, для этого:

1️⃣ Регистрируемся по данной реферальной ссылке (Получаем 30% скидки на комиссии благодаря максимальному рефбеку). Регистрировать аккаунт лучше сразу, чтобы также получить бонус до 1.5х к поинтам за объем всех участников команды (Рефералов)
2️⃣ По возможности торгуем с помощью лимиток, так как комиссия будет в 3.5 раза меньше, но будут давать в 2 раза меньше поинтов по сравнению со сделками по маркету. Также торгуем самыми ликвидными токенами (BTC, ETH, SOL)
3️⃣ Платим комиссию с помощью токенов $ASTER (Дополнительная 5% скидка)
4️⃣ Держите сделки открытыми, не занимайтесь вош-трейдингом. Для того чтобы не рисковать курсом, открываем дельта-нейтральные позиции, сделать это можно с помощью:
а) Противоположной позиции на другой платформе из данного списка.
б) Регистрируем три аккаунта здесь, на одном условно открываем на 50% лонг, на двух других 25% шорт, в таком случае риск блокировок минимальный

⏺️ Lighter - один из самых ожидаемых перп-дексов с нулевой комиссией, закрытый бета тест закончится уже в ближайшее время, а там и выход токена не за горами. Я считаю что даже сейчас не поздно начать отрабатывать данный проект, так как думаю что он выйдет очень хорошо, а затраты на поинты все еще адекватные. Я сам фармлю с помощью софта одувана, также с помощью дельта-нейтральных сделок

Инвайты по ссылке выше могут закончится, буду обновлять по возможности, если что стучите в личку @mishaberkut. Каких-то плюшек по рефке к сожалению команда не предоставляет, на последок скажу что здесь 5 аккаунтов с 200k объема будут лучше чем 1 с миллионом объема

⏺️ Pacifica - новенький self-funded perp на солане, сейчас идет только третья неделя поинтов, а проект уже входит в топ-12 по торговому объему на Defillama. Только благодаря этому факту рекомендую как можно скорее крутануть объема, скорее всего конкуренция будет только расти и затраты на поинт будут выходить дороже, сам планирую активно пофармить ближайшие пару недель, а потом буду смотреть по ситуации

Вход только по рефералке, по ней 10% буста к поинтам, также готов выделить 15% рефбека (Для людей которые совершат более 500k$ объема), за рефбеком пишите в лс @mishaberkut

⏺️ Ranger Finance - агрегатор пепров, темная лошадка на мой взгляд, которая может стрельнуть и принести иксов больше чем все три проекта выше вместе взятые, а может и выйти в ноль/минус. Подробно расписывать не буду, ознакомится с проектом можно в данном посте

По моей рефке как обычно лучшие условия:
1. 50% рефбека с перпов/30% со спота
2. 1.3x буста к поинтам на сделки открытые с помощью HL (До закрытия опен-беты), 1.1х буст на все остальное
3. Для людей которые сделают более $5M объема у меня есть эксклюзивные условия (Предоставляю определенное кол-во токенов $RANGER за каждый лям объема), если являетесь таковым - пишите в лс @mishaberkut

Работаем (Чат: @chat_berkut)

Alpha Berkut | Telegram | YouTube