Analyse de l'événement de vol de clé privée des utilisateurs de Solana par des paquets NPM malveillants

Début juillet 2025, un incident d'attaque malveillante ciblant les utilisateurs de Solana a été révélé. Les attaquants se sont déguisés en projets open source légitimes, incitant les utilisateurs à télécharger et à exécuter des projets Node.js contenant du code malveillant, afin de voler les clés privées des portefeuilles des utilisateurs et leurs actifs cryptographiques.

Développement de l'événement

Le 2 juillet, une victime a demandé de l'aide à l'équipe de sécurité, affirmant que ses actifs cryptographiques avaient été volés après avoir utilisé le projet open source "solana-pumpfun-bot" sur GitHub. L'équipe de sécurité a immédiatement lancé une enquête.

Une enquête a révélé qu'il y a une anomalie dans ce projet GitHub :

1. La date de soumission du code est concentrée il y a trois semaines, manquant de mises à jour continues.
2. Le projet dépend d'un paquet tiers suspect "crypto-layout-utils"
3. Ce paquet de dépendance a été retiré par l'équipe NPM officielle et la version spécifiée n'existe pas dans l'historique NPM.

Une analyse plus approfondie a révélé que l'attaquant avait remplacé le lien de téléchargement de "crypto-layout-utils" dans package-lock.json par l'adresse de son propre dépôt GitHub.

Analyse de code malveillant

L'équipe de sécurité a téléchargé et analysé des packages de dépendance suspects, découvrant qu'ils contenaient un code malveillant hautement obfusqué. Ce code réalise les fonctions suivantes :

1. Scanner les fichiers de l'ordinateur de l'utilisateur, rechercher des contenus liés aux portefeuilles ou à la Clé privée.
2. Télécharger les informations sensibles découvertes sur un serveur contrôlé par l'attaquant.

Méthodes d'attaque

1. Contrôler plusieurs comptes GitHub, Forker et distribuer des projets malveillants
2. Augmenter le nombre de Fork et de Star des projets pour améliorer la crédibilité.
3. Remplacer le lien de téléchargement du package NPM, contourner l'examen officiel
4. Utiliser du code obfusqué pour augmenter la difficulté d'analyse

Flux de fonds

L'utilisation d'outils d'analyse en chaîne a révélé que des fonds volés avaient été transférés vers une plateforme d'échange de cryptomonnaies.

Conseils de sécurité

1. Soyez prudent avec les projets GitHub d'origine inconnue, en particulier ceux impliquant des opérations de portefeuille.
2. Exécuter et déboguer du code tiers dans un environnement indépendant et sans données sensibles.
3. Vérifiez régulièrement la sécurité du système et mettez à jour les logiciels et les mesures de protection en temps voulu.

Cet incident souligne à nouveau l'importance de rester vigilant lors de la gestion des actifs cryptographiques. Les attaquants continuent d'innover dans leurs méthodes, et les utilisateurs ainsi que les développeurs doivent renforcer leur sensibilisation à la sécurité et adopter les mesures de protection nécessaires.