Análisis del evento de robo de llaves privadas de usuarios de Solana por paquetes NPM maliciosos

A principios de julio de 2025, se expuso un incidente de ataque malicioso dirigido a usuarios de Solana. Los atacantes se disfrazaron de proyectos de código abierto legítimos, induciendo a los usuarios a descargar y ejecutar proyectos de Node.js que contenían código malicioso, robando así las llaves privadas de las billeteras de los usuarios y sus activos criptográficos.

Desarrollo del evento

El 2 de julio, una víctima solicitó ayuda al equipo de seguridad, afirmando que sus activos criptográficos fueron robados tras utilizar el proyecto de código abierto "solana-pumpfun-bot" en GitHub. El equipo de seguridad inició de inmediato una investigación.

La investigación encontró anomalías en este proyecto de GitHub:

1. El tiempo de envío del código se concentró hace tres semanas, careciendo de actualizaciones continuas.
2. El proyecto depende de un paquete de terceros sospechoso "crypto-layout-utils"
3. Este paquete de dependencia ha sido eliminado oficialmente por NPM y la versión especificada no existe en el historial de NPM.

Un análisis más profundo revela que el atacante reemplazó el enlace de descarga de "crypto-layout-utils" en package-lock.json con la dirección de un repositorio de GitHub que controla.

Análisis de código malicioso

El equipo de seguridad descargó y analizó paquetes de dependencia sospechosos, y encontró que contenían código malicioso altamente ofuscado. Este código implementó las siguientes funciones:

1. Escanear los archivos de la computadora del usuario, buscar contenido relacionado con la billetera o la Llave privada
2. Subir la información sensible descubierta a un servidor controlado por el atacante

Métodos de ataque

1. Controlar múltiples cuentas de GitHub, hacer Fork y distribuir proyectos maliciosos
2. Aumentar la cantidad de Forks y Stars del proyecto para mejorar su credibilidad.
3. Reemplazar el enlace de descarga del paquete NPM para eludir la revisión oficial
4. Usar código ofuscado para aumentar la dificultad de análisis

Flujo de fondos

Se ha descubierto mediante herramientas de análisis en la cadena que parte de los fondos robados han sido transferidos a una plataforma de intercambio de criptomonedas.

Consejos de seguridad

1. Trate con precaución los proyectos de GitHub de origen desconocido, especialmente aquellos que involucran operaciones de billetera.
2. Ejecutar y depurar código de terceros en un entorno independiente y sin datos sensibles
3. Revisar periódicamente la seguridad del sistema y actualizar el software y las medidas de protección de manera oportuna.

Este evento destaca una vez más la importancia de mantener la vigilancia al tratar con activos criptográficos. Los atacantes continúan innovando en sus métodos, y tanto los usuarios como los desarrolladores deben aumentar su conciencia de seguridad y tomar las medidas de protección necesarias.