Solana kullanıcı varlıklarının çalınması olayı analizi

2 Temmuz 2025'te, bir kullanıcı bir güvenlik ekibine yardım talebinde bulundu ve GitHub'daki açık kaynak projesi "solana-pumpfun-bot"u kullandıktan sonra kripto varlıklarının çalındığını bildirdi. Güvenlik ekibi hemen soruşturmaya başladı.

Araştırmalar, bu GitHub projesinde birden fazla anormal işaret bulunduğunu ortaya koydu. Öncelikle, proje kodu üç hafta önce yoğun bir şekilde gönderilmiş, sürekli güncellemeler eksik. İkincisi, proje bağımlılıkları arasında şüpheli bir üçüncü taraf paketi "crypto-layout-utils" bulunuyor; bu paket NPM resmi olarak kaldırılmış ve belirtilen versiyon resmi tarihçe de yer almıyor.

Daha ileri analiz, saldırganların package-lock.json dosyasında "crypto-layout-utils" için indirme bağlantısını, bir GitHub deposunun release paketine yönlendirecek şekilde değiştirdiğini ortaya koydu. Bu paket yüksek derecede obfuscate edilmiştir ve deşifre edildikten sonra kötü niyetli kod olarak doğrulanmıştır. Kötü niyetli paket, kullanıcı bilgisayarındaki dosyaları tarar, cüzdan veya özel anahtarlarla ilgili içerikleri arar ve bunları saldırganın kontrolündeki sunucuya yükler.

Saldırganlar ayrıca, kötü niyetli projeleri Forklamak ve Star sayısını artırarak projenin güvenilirliğini artırmak ve yayılma alanını genişletmek için bir grup GitHub hesabını kontrol ediyor olabilir. Bazı Fork projeleri, başka bir kötü niyetli paket olan "bs58-encrypt-utils-1.0.3"'ü kullanıyor.

Zincir üzerindeki analiz araçlarıyla yapılan takipte, çalınan fonların bir kısmının bir borsa platformuna transfer edildiği tespit edildi.

Bu saldırı, meşru açık kaynak projelerini taklit ederek kullanıcıları kötü amaçlı bağımlılıklar içeren Node.js projelerini indirmeye ve çalıştırmaya kandırdı, bu da özel anahtarların ifşasına ve varlıkların çalınmasına yol açtı. Saldırı yöntemi sosyal mühendislik ve teknik yöntemleri birleştirerek güçlü bir aldatıcılık ve yayılabilirlik özelliği taşıyor.

Geliştiricilerin ve kullanıcıların kaynağı belirsiz GitHub projelerine özellikle cüzdan veya özel anahtar işlemleri söz konusu olduğunda son derece dikkatli olmaları önerilir. Hata ayıklama gerekiyorsa, bunu bağımsız ve hassas veriler içermeyen bir ortamda yapmak önemlidir.

Bu olay, birden fazla kötü niyetli GitHub deposu ve NPM paketi ile ilgilidir; saldırganlar ayrıca çalınan verileri almak için kontrol edilen sunucuları kullanmıştır. Kullanıcılar, benzer saldırılardan korunmak için açık kaynak projelerini dikkatli bir şekilde kullanmalı ve ortam güvenliğini sağlamalıdır.