H1 2025: все запланированное — выполнено.

Отчет: https://telegra.ph/TON-Core---Report-for-2025-H1-08-03

⚠️ Атака на популярные NPM-пакеты — технические детали

Кратко

Несколько часов назад взломщики получили доступ к некоторым NPM-аккаунтам и опубликовали заражённые версии популярных библиотек.

Множество веб-продуктов используют эти пакеты.

Хотя продукты TON, судя по всему, не в опасности, разработчикам мультичейн-продуктов стоит проверить свой код, особенно если вы сегодня что-то релизили.

Список скомпрометированных версий:

• ansi-styles@6.2.2
• debug@4.4.2
• chalk@5.6.1
• supports-color@10.2.1
• strip-ansi@7.1.1
• ansi-regex@6.2.1
• wrap-ansi@9.0.1
• color-convert@3.1.1
• color-name@2.0.1
• is-arrayish@0.3.3
• slice-ansi@7.1.1
• color@5.0.1
• color-string@2.1.1
• simple-swizzle@0.2.3
• supports-hyperlinks@4.1.1
• has-ansi@6.0.1
• chalk-template@1.1.1
• backslash@0.2.1

Важно: только эти конкретные версии заражены. Все более ранние и более новые версии считаются безопасными.

Что делают заражённые пакеты

• Подменяют адреса крипто-кошельков.

• Перехватывают и перенаправляют крипто-трaнзакции в продуктах, которые используют эти пакеты.

Под ударом блокчейны: Ethereum, Bitcoin, Bitcoin Cash, TRON, Litecoin, Solana.

Блокчейн TON в список не входит.

Ваш веб-продукт в зоне риска, если:

• Он работает с Ethereum, Bitcoin, Bitcoin Cash, TRON, Litecoin, Solana.

и

• Вы собирали его пару часов назад;

или

• Ваши зависимости подгружаются динамически, без фиксированной версии (лучше никогда так не делайте).

Как проверить

В package-lock.json поищите версии и пакеты из списка выше.

Если версия хотя бы одного из указанных пакетов совпадает со скомпрометированной — значит, проект заражён.

Как исправить

Для всех пакетов уже опубликованы исправления либо откат на предыдущую версию.

Сделайте npm install и пересоберите проект.

Источники

https://jdstaerk.substack.com/p/we-just-found-malicious-code-in-the

https://github.com/chalk/chalk/issues/656#issuecomment-3266900029

https://github.com/debug-js/debug/issues/1005#issuecomment-3266868187

https://github.com/advisories/GHSA-8mgj-vmr8-frr6

https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised

В этом году мы расширили команду C++ разработчиков ядра в TON Core:

🥷 Евгений

Более 10 лет опыта в разработке блокчейнов, включая работу над консенсусом и криптографией.

— Первое место в мировых финалах ICPC 2009 и 2012 годов.

— Отличные результаты в других соревнованиях, включая Google Code Jam, Meta Hacker Cup и TopCoder Open.

🥷 Олег

Инженер и исследователь в области распределенных баз данных.

— Победитель TON x CodeForces Contest.
— Бронзовая медаль в финале ICPC World Finals 2020.
— Высший рейтинг Grandmaster на Codeforces.
— Результаты в других соревнованиях, включая IEEExtreme, Google Hash Code, Microsoft BubbleCup Finals.

🥷 Вадим

Специализируется на многопоточности, работе с базами данных и кластерами.

— Победитель конкурса TON Validation Contest и TON Smart Challenges.
— Второе место в Yandex Cup 2024 Backend.

🥷 Данил (20 лет!)

MIT

— Победитель TON Validation Contest.
— Золотая медаль Международной олимпиады по информатике 2022.
— Золотая медаль Азиатско-Тихоокеанской олимпиады по информатике 2022.
— Золотая медаль Romanian Master of Informatics 2021.
— Золотая медаль Международного осеннего турнира по информатике 2021.

Команда TON Core работает над тем, чтобы операции в блокчейне TON выполнялись быстрее 1 секунды — без снижения децентрализации и масштабируемости.

Мы расширили команду ядра и продолжаем реализовывать roadmap оптимизаций, опубликованный и частично выполненный ранее в этом году. Впереди — крупные обновления L1 и API.

Планируем показать результаты в основой сети TON уже в первой половине следующего года.

Команда TON Core была рада помочь Chainlink с технической интеграцией их продукта в TON.

Смарт-контракты Chainlink написаны на нашем новом языке Tolk.

Параллельно мы внесли свой вклад в подготовку еще трех крупных и ожидаемых релизов — все с буквой «C» в конце или начале.

Новичкам в Tolk может понравиться этот доклад.

Александр Кирсанов — автор языка — делится ключевыми идеями Tolk, рассказывает, как язык развивался, и показывает, чем Tolk отличается от FunC.

Записано этим летом.

https://www.youtube.com/watch?v=QunzOeV2kT0

Возможно, многие упустили важный анонс Павла Дурова во время презентации Cocoon.

Говоря о TON:

«Конечно, все это [Cocoon] сделано на TON. Это наш любимый блокчейн. Мы сделали много всего на блокчейне TON. Все наши цифровые коллекционные предметы на TON: юзернеймы, номера, подарки. Все выплаты разработчикам и создателям используют TON. И есть большой план действий. Я думаю, что Telegram будет играть более активную роль в развитии основной технологии TON. В следующем году я сделаю несколько громких объявлений».

Английский текст:

«… of course, all of it [Cocoon] is built on TON. It’s our favorite blockchain. We built a lot of things on top of it. All our digital collectibles are built on top of TON: the usernames, the numbers, the gifts — everything. All the payouts to developers and digital creators are also done using TON. And there is a big roadmap. I think Telegram will be taking a more active role in developing the core technology of TON. There’ll be some exciting announcements I’ll be making next year».

Вижу, что вокруг BTC Teleport появляется разная информация, поэтому хочу немного прояснить.

Проект не относится ни ко мне лично, ни к TON Core — это инициатива команды разработчиков RSquad и TON Foundation.

Со своей стороны мы поддержали проект технически и консультационно и будем рады увидеть его успешный запуск.