매우매우 자주 쓰이는 (주 다운로드 19M) NPM crypto-js 패키지의 <4.0.0 버전에서 특정 함수(WordArray.random) 이 안전한 난수생성기를 쓰지 않았음(47비트 엔트로피로 브루트포스 상당히 쉬움). 구식 라이브러리 혹은 구식 월렛들에서 생성된 지갑들이 취약할 것으로 예상됨. 구체적인 지갑 벤더 목록은 제시되지 않음.
콜드카드 스캔들의 멀티체인 버전이 발생했을 수도? https://illbloom.org/ 에 따르면 26년 5월에 발생한 0x43d49aef7aaf0dcf015b20057c5364e092d66615 드레인을 조사하던 중 발견한 취약점이라 함. 이전부터 악용되고 있었을 수도 있음.
그나마 다행인 것은 crypto-js가 업데이트가 끊긴 deprecated package 라서 모던한 월렛들은 안 쓸 가능성이 높음.
https://github.com/advisories/GHSA-rg76-677x-56q9