Solana kullanıcıları yeni tip bir kimlik avı saldırısıyla karşı karşıya, kötü niyetli NPM paketi özel anahtarları çalarak varlık kaybına neden oldu

2025 yılı Temmuz ayının başında, Solana kullanıcılarına yönelik yeni bir oltalama saldırısı olayı güvenlik uzmanlarının dikkatini çekti. Bir kullanıcı, GitHub'daki bir açık kaynak projesini kullandıktan sonra, kripto varlıklarının çalındığını fark etti. Yapılan araştırmalar sonucunda, güvenlik ekibi, kötü niyetli NPM paketleri ve birden fazla GitHub hesabının koordineli bir şekilde çalıştığı özenle tasarlanmış bir saldırı zincirini ortaya çıkardı.

Olayın Gelişimi

Mağdur, 1 Temmuz'da "solana-pumpfun-bot" adlı GitHub projesini kullandı ve ertesi gün varlıklarının çalındığını fark etti. Güvenlik ekibi hemen bir soruşturma başlattı ve bu projede birden fazla şüpheli durum tespit etti:

1. Projenin Star ve Fork sayısı anormal derecede yüksek, ancak kod güncellemeleri üç hafta önce yoğunlaşmış, sürekli bakım özellikleri eksik.
2. Proje bağımlılıkları arasında "crypto-layout-utils" adında şüpheli bir üçüncü taraf paket bulunmaktadır.
3. Bu şüpheli paket NPM resmi olarak kaldırıldı ve belirtilen sürüm resmi geçmişte bulunmamaktadır.

Saldırı Yöntemleri Analizi

Derinlemesine analiz, saldırganların aşağıdaki yöntemleri kullandığını ortaya koydu:

1. package-lock.json dosyasında şüpheli paketlerin indirme bağlantıları, GitHub'daki bir özel sürüme yönlendirildi.
2. Bu sürümün kodu yüksek derecede karıştırılmıştır, analiz zorluğunu artırmaktadır.
3. Karışıklığı giderdikten sonra, bu paket kullanıcı bilgisayarındaki dosyaları tarar, cüzdan veya Özel Anahtar ile ilgili içerikleri arar ve bunları saldırganın kontrolündeki sunucuya yükler.
4. Saldırgan, kötü niyetli projeleri Forklamak ve yüksek popülarite sağlamak için birden fazla GitHub hesabını kontrol ediyor olabilir, bu da yayılma alanını genişletir.

Fon Akışı

Zincir üzerindeki analiz araçlarıyla takip ederek, çalınan fonların bir kısmının belirli bir işlem platformuna aktarıldığını keşfettik.

Saldırı Alanı Genişliyor

Araştırma ayrıca, ilgili birçok Fork projesinin de benzer kötü niyetli davranışlar sergilediğini ortaya koydu; bazı sürümler başka bir kötü amaçlı paket olan "bs58-encrypt-utils-1.0.3" kullanıyor. Bu, saldırganların Haziran ayı ortalarında kötü niyetli NPM paketleri ve Node.js projeleri dağıtmaya başladığını gösteriyor.

Güvenlik Önerileri

1. Kaynağı belirsiz GitHub projelerine karşı yüksek derecede dikkatli olun, özellikle cüzdan veya Özel Anahtar işlemleri ile ilgili projelerde.
2. Bu tür projeleri test etmek için, bağımsız ve hassas veri içermeyen bir ortamda yapılması önerilir.
3. Geliştiriciler, proje bağımlılıklarını düzenli olarak kontrol etmeli ve şüpheli üçüncü taraf paketlerine karşı dikkatli olmalıdır.
4. Kullanıcı, özel anahtarları bilgisayarda düz metin olarak saklamaktan kaçınmak için donanım cüzdanı gibi daha güvenli saklama yöntemleri kullanmalıdır.

Bu olay, merkeziyetsiz açık kaynak dünyasında bireysel güvenlik bilincinin ve temel koruma önlemlerinin son derece önemli olduğunu bir kez daha hatırlatıyor. Saldırganlar sürekli olarak yeni yöntemler geliştiriyor, biz de çağa ayak uydurmalı, dikkatli olmalı ve dijital varlıklarımızı korumalıyız.