Supply-Chain-Angriff

Ein Supply-Chain-Angriff kompromittiert nicht das Projekt selbst, sondern etwas, wovon es abhängt — der Schadcode kommt so über ein vertrauenswürdiges Update. In Krypto heißt das meist eine vergiftete Bibliothek, ein gekaperter Account in einer Paketregistry oder ein manipulierter Frontend-Build; danach signiert jeder Nutzer einer ansonsten ehrlichen Anwendung vom Angreifer gebaute Transaktionen. Die Kompromittierung von Ledgers Connect-Kit-Bibliothek im Dezember 2023 ist ein dokumentiertes Beispiel: In Websites, die sie aus einer öffentlichen Registry luden, wurde ein Drainer eingeschleust. Die Abwehr ist mehrschichtig: Versionen pinnen und prüfen, Hardware-Wallet nutzen, ungewöhnliche Freigaben misstrauisch behandeln.