一部のパッケージに脆弱性が見つかる
開発者向けセキュリティツールを提供するアイキドセキュリティ（Aikido Security）は2025年4月22日に、XRPレジャー（XRPL）の公式SDKに脆弱性を発見したと報告しました。
同報告によると、脆弱性が確認されたのは、XRPレジャー公式SDKの一部パッケージで、数十万に及ぶアプリケーションにおいて利用されているとのことです。
同社は、使用範囲が極めて広いため、悪意ある第三者による被害が他のサービスや企業へ連鎖的に広がる「サプライチェーン攻撃」に発展する可能性を指摘しています。
今回発見された脆弱性は、特定の条件が揃った場合に秘密鍵が攻撃者に盗まれるリスクを伴うもので、アイキドセキュリティは次のように説明しています。
?We have discovered a backdoor in the official #xrpl NPM package. This back door steals private keys and sends them to attackers. The affected versions 4.2.1 – 4.2.4, if you are using an earlier version, do not upgrade.#crypto #malware #npm pic.twitter.com/wshcTFKjbR
— Aikido Security (@AikidoSecurity) April 22, 2025
私たちは、XRPレジャー公式のNPMパッケージにバックドアを発見しました。このバックドアは秘密鍵を盗み出し、攻撃者に送信します。影響を受けるのはバージョン4.2.1〜4.2.4です。
また、該当パッケージでは攻撃者による頻繁なコード改変が確認されており、様々な手法が試行されていたことも明らかになっています。
4月23日時点で大規模な被害は報告されていませんが、アイキドセキュリティはユーザーに対し、以下の対応を強く推奨しています。
該当パッケージを使用した場合、秘密鍵が既に漏洩している可能性があります。直ちに資産を別の安全なウォレットまたは秘密鍵に移動することを推奨します。
XRPレジャー財団、即時更新を推奨
XRPレジャー財団は、4月22日に問題を認識していると報告した上で、同日に新たなバージョンへのアップデートを呼びかけました。
? v4.2.5 of xrpl.js has been published to replace the previous compromised version. npm: https://t.co/Rd6vWdvLys
Please update immediately.
— XRP Ledger Foundation (Official) (@XRPLF) April 22, 2025
xrpl.jsのバージョン4.2.5が公開されました。以前のバージョンに脆弱性が確認されたため、この新バージョンへのアップデートが推奨されています。
至急アップデートをお願いします。
同財団は、XRPレジャーの基盤となるコード自体に問題はないとも報告しています。あくまで、影響を受けているのは該当のパッケージにおける特定のバージョンのみだと指摘しました。
XRP関連の注目記事はこちら
Souce：アイキドセキュリティ
執筆・翻訳：BITTIMES 編集部
サムネイル：Shutterstockのライセンス許諾により使用
