Tedarik Zinciri Saldırısı

Tedarik zinciri saldırısı projenin kendisini değil, bağlı olduğu bir bileşeni ele geçirir; böylece kötü niyetli kod güvenilen bir güncelleme üzerinden gelir. Kriptoda bu genellikle zehirlenmiş bir yazılım kütüphanesi, ele geçirilmiş bir paket kayıt hesabı ya da kurcalanmış bir ön yüz derlemesi anlamına gelir; sonrasında dürüst bir uygulamanın her kullanıcısı saldırganın hazırladığı işlemleri imzalar. Ledger'ın Connect Kit kütüphanesinin Aralık 2023'te ele geçirilmesi belgelenmiş bir örnektir; kütüphaneyi genel paket kaydından yükleyen sitelere boşaltıcı kod enjekte edildi. Savunma katmanlıdır: bağımlılık sürümlerini sabitleyip doğrulamak, işlem içeriğini gösteren donanım cüzdanı kullanmak ve olağandışı onay isteyen arayüzden şüphelenmek.