悪意のあるNPMパッケージによるソラナユーザーの秘密鍵盗難事件分析

2025年7月初、ソラナユーザーを対象とした悪意のある攻撃事件が明らかになりました。攻撃者は合法的なオープンソースプロジェクトに偽装し、ユーザーに悪意のあるコードを含むNode.jsプロジェクトをダウンロードして実行させることで、ユーザーのウォレット秘密鍵と暗号資産を盗みました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

何が起こったのか

7月2日、ある被害者がセキュリティチームに助けを求め、「solana-pumpfun-bot」というGitHub上のオープンソースプロジェクトを使用した後、暗号資産が盗まれたと報告しました。セキュリティチームは直ちに調査を開始しました。

調査によると、このGitHubプロジェクトには異常が存在します:

1. コードの提出時間は3週間前に集中しており、継続的な更新が不足している
2. プロジェクトは疑わしいサードパーティパッケージ「crypto-layout-utils」に依存しています
3. この依存パッケージはNPM公式によって削除されており、指定されたバージョンはNPMの履歴には存在しません。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

さらに分析した結果、攻撃者はpackage-lock.json内の"crypto-layout-utils"のダウンロードリンクを自分が制御するGitHubリポジトリのアドレスに置き換えました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

悪意のあるコード分析

セキュリティチームは怪しい依存パッケージをダウンロードして分析し、その中に高度に難読化された悪意のあるコードが含まれていることを発見しました。このコードは以下の機能を実現しています:

1. ユーザーのコンピュータファイルをスキャンし、ウォレットまたは秘密鍵に関連する内容を検索する
2. 発見された敏感情報を攻撃者が制御するサーバーにアップロードする

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれます

攻撃手口

1. 複数のGitHubアカウントを管理し、悪意のあるプロジェクトをフォークして配布する
2. プロジェクトのForkとStarの数を増やし、信頼性を高める
3. NPMパッケージのダウンロードリンクを置き換えて、公式の審査を回避する
4. 混乱したコードを使用して分析の難易度を上げる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaユーザー資産が盗まれる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

資金の流れ

オンチェーン分析ツールを使用して追跡した結果、一部の盗まれた資金がある暗号通貨取引所に移動されたことが判明しました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

セキュリティの提案

1. 出所不明のGitHubプロジェクトには慎重に対処してください。特に、ウォレット操作が関与するプロジェクトについては。
2. 独立したかつ機密データのない環境でサードパーティコードを実行およびデバッグする
3. 定期的にシステムのセキュリティをチェックし、ソフトウェアと防御策を適時更新すること

今回の事件は、暗号資産を扱う際の警戒心の重要性を再度強調しています。攻撃者は常に新たな手法を考案しており、ユーザーと開発者は安全意識を高め、必要な防護措置を講じる必要があります。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる