Пользователи Solana столкнулись с новой формой фишинга, вредоносные пакеты NPM похитили Закрытый ключ, что привело к потерям активов

В начале июля 2025 года новый тип фишинговой атаки на пользователей Solana привлек внимание экспертов по безопасности. Один из пользователей, воспользовавшись открытым проектом на GitHub, обнаружил, что его криптоактивы были украдены. В результате расследования команда безопасности выявила тщательно спланированную цепочку атак, включающую вредоносные пакеты NPM и координированные действия нескольких аккаунтов на GitHub.

Ход событий

Жертва 1 июля использовала проект GitHub под названием "solana-pumpfun-bot" и на следующий день обнаружила, что активы были украдены. Команда безопасности немедленно начала расследование и обнаружила несколько подозрительных моментов в этом проекте:

1. У проекта аномально высокое количество звезд и форков, но обновления кода сосредоточены на три недели назад, что указывает на отсутствие постоянного обслуживания.
2. В зависимости проекта содержится подозрительная сторонняя библиотека под названием "crypto-layout-utils".
3. Этот подозрительный пакет был удален официальным NPM, и указанная версия отсутствует в официальной истории.

Анализ методов атаки

Глубокий анализ показал, что злоумышленники использовали следующие методы:

1. В package-lock.json заменена ссылка на скачивание подозрительного пакета, указывающая на самодельную версию на GitHub.
2. Эта версия кода была сильно запутана, что увеличивает трудность анализа.
3. После декодирования было обнаружено, что пакет будет сканировать файлы компьютера пользователя в поисках содержимого, связанного с кошельками или Закрытыми ключами, и загружать его на сервер, контролируемый злоумышленником.
4. Атакующий мог контролировать несколько аккаунтов GitHub, чтобы форкать вредоносные проекты и увеличивать их популярность, расширяя круг распространения.

Направление денежных потоков

С помощью инструментов анализа на блокчейне было установлено, что часть украденных средств была переведена на одну из торговых площадок.

Расширение диапазона атаки

Расследование также выявило, что несколько связанных проектов Fork также проявляли аналогичное злонамеренное поведение, некоторые версии использовали другой злонамеренный пакет "bs58-encrypt-utils-1.0.3". Это указывает на то, что злоумышленники начали распространять злонамеренные NPM пакеты и проекты Node.js еще в середине июня.

Рекомендации по безопасности

1. Будьте крайне осторожны с проектами на GitHub, происхождение которых неизвестно, особенно с проектами, связанными с кошельками или Закрытым ключом.
2. Если необходимо отладить такие проекты, рекомендуется проводить это в отдельной среде без конфиденциальных данных.
3. Разработчики должны регулярно проверять зависимости проекта и быть внимательными к подозрительным сторонним пакетам.
4. Пользователи должны использовать более безопасные методы хранения, такие как аппаратные кошельки, чтобы избежать хранения закрытого ключа в открытом виде на компьютере.

Это событие снова напоминает нам о том, что в децентрализованном мире с открытым исходным кодом личная безопасность и основные меры защиты имеют решающее значение. Атакующие постоянно разрабатывают новые методы, и нам также необходимо идти в ногу со временем, повышать бдительность и защищать свои цифровые активы.