Análise do incidente de roubo de chave privada de usuários Solana por pacotes NPM maliciosos

No início de julho de 2025, um incidente de ataque malicioso direcionado a usuários da Solana foi exposto. Os atacantes disfarçaram-se como um projeto de código aberto legítimo, induzindo os usuários a baixar e executar um projeto Node.js que continha código malicioso, roubando assim a chave privada da carteira e os ativos criptográficos dos usuários.

Decorrência do evento

No dia 2 de julho, uma vítima pediu ajuda à equipa de segurança, afirmando que, após utilizar o projeto open-source "solana-pumpfun-bot" no GitHub, os seus ativos criptográficos foram roubados. A equipa de segurança imediatamente iniciou uma investigação.

A investigação descobriu que este projeto no GitHub apresenta anomalias:

1. O tempo de submissão do código concentra-se há três semanas, faltando atualizações contínuas.
2. O projeto depende de um pacote de terceiros suspeito "crypto-layout-utils"
3. Este pacote de dependência foi removido oficialmente do NPM e a versão especificada não existe no histórico do NPM.

Uma análise mais aprofundada revelou que o atacante substituiu o link de download de "crypto-layout-utils" no package-lock.json pelo endereço do repositório do GitHub que controla.

Análise de código malicioso

A equipe de segurança fez o download e analisou pacotes de dependência suspeitos, descobrindo que continham código malicioso altamente ofuscado. Esse código implementou as seguintes funcionalidades:

1. Escanear os arquivos do computador do usuário, procurar conteúdos relacionados a carteiras ou Chave privada
2. Carregar as informações sensíveis descobertas para um servidor controlado pelo atacante

Métodos de ataque

1. Controlar várias contas do GitHub, Fork e distribuir projetos maliciosos
2. Aumentar o número de Forks e Stars dos projetos, elevando a credibilidade.
3. Substituir o link de download do pacote NPM, contornando a revisão oficial
4. Usar código ofuscado para aumentar a dificuldade de análise

Fluxo de fundos

Usando ferramentas de análise on-chain, descobriu-se que parte dos fundos roubados foi transferida para uma determinada plataforma de negociação de criptomoedas.

Sugestões de segurança

1. Tenha cuidado com projetos do GitHub de origem desconhecida, especialmente aqueles que envolvem operações de carteiras.
2. Executar e depurar código de terceiros em um ambiente independente e sem dados sensíveis
3. Verificar regularmente a segurança do sistema, atualizar o software e as medidas de proteção de forma atempada.

Este evento enfatiza novamente a importância de manter a vigilância ao lidar com ativos criptográficos. Os atacantes estão constantemente inovando em suas táticas, e tanto usuários quanto desenvolvedores precisam aumentar a conscientização sobre segurança e adotar as medidas de proteção necessárias.