Аналіз інциденту з крадіжкою активів користувачів Solana

2 липня 2025 року користувач звернувся за допомогою до певної команди безпеки, стверджуючи, що після використання відкритого проєкту на GitHub "solana-pumpfun-bot" його криптоактиви були вкрадені. Команда безпеки невідкладно розпочала розслідування.

Дослідження виявило кілька аномальних ознак у цьому проекті GitHub. По-перше, код проекту був зосереджений на подачі три тижні тому, без постійних оновлень. По-друге, у залежностях проекту міститься підозрілий сторонній пакет "crypto-layout-utils", який був вилучений з NPM, а вказана версія не з'являється в офіційній історії.

Додатковий аналіз виявив, що зловмисник замінив посилання для завантаження "crypto-layout-utils" у файлі package-lock.json, вказуючи на реліз пакета GitHub. Цей пакет був сильно обфусцований, а після обфускації підтверджено, що це шкідливий код. Шкідливий пакет сканує файли комп'ютера користувача, шукаючи вміст, пов'язаний з гаманцем або приватними ключами, і завантажує його на сервер, контрольований зловмисником.

Зловмисники також можуть контролювати групу облікових записів GitHub, щоб форкнути шкідливі проекти та збільшити кількість зірок, щоб підвищити довіру до проекту та розширити його охоплення. Деякі форкнуті проекти використовували ще один шкідливий пакет "bs58-encrypt-utils-1.0.3".

За допомогою інструментів аналізу в блокчейні виявлено, що частина вкрадених коштів була переведена на певну торгову платформу.

Цей напад здійснено шляхом маскування під легітимні проекти з відкритим кодом, спонукаючи користувачів завантажувати та запускати Node.js проекти з шкідливими залежностями, що призвело до витоку приватних ключів і крадіжки активів. Методи атаки поєднують соціальну інженерію та технічні прийоми, маючи високу ступінь обману та поширення.

Рекомендується розробникам і користувачам бути особливо обережними щодо проектів на GitHub з невідомим походженням, особливо якщо це стосується операцій з гаманцями або приватними ключами. Якщо потрібно налагоджувати, слід робити це в окремому середовищі без чутливих даних.

Ця подія пов'язана з кількома зловмисними репозиторіями GitHub та пакетами NPM, зловмисники також використовували контрольовані сервери для отримання викрадених даних. Користувачам слід обережно використовувати проекти з відкритим кодом, щоб забезпечити безпеку середовища та запобігти подібним атакам.