Phân tích sự kiện gói NPM độc hại đánh cắp khóa riêng của người dùng Solana

Vào đầu tháng 7 năm 2025, một sự kiện tấn công độc hại nhắm vào người dùng Solana đã được phơi bày. Kẻ tấn công đã giả mạo thành một dự án mã nguồn mở hợp pháp, dụ dỗ người dùng tải xuống và chạy dự án Node.js chứa mã độc, từ đó đánh cắp khóa riêng ví và tài sản tiền điện tử của người dùng.

Diễn biến sự kiện

Vào ngày 2 tháng 7, một nạn nhân đã yêu cầu sự trợ giúp từ đội ngũ an ninh, cho biết rằng tài sản tiền điện tử của mình đã bị đánh cắp sau khi sử dụng dự án mã nguồn mở "solana-pumpfun-bot" trên GitHub. Đội ngũ an ninh ngay lập tức tiến hành điều tra.

Điều tra phát hiện rằng dự án GitHub này có bất thường:

1. Thời gian nộp mã tập trung vào ba tuần trước, thiếu cập nhật liên tục.
2. Dự án phụ thuộc vào một gói bên thứ ba nghi ngờ "crypto-layout-utils"
3. Gói phụ thuộc này đã bị NPM chính thức gỡ bỏ, và phiên bản chỉ định không tồn tại trong lịch sử NPM.

Phân tích thêm cho thấy, kẻ tấn công đã thay thế liên kết tải xuống của "crypto-layout-utils" trong package-lock.json bằng địa chỉ kho GitHub mà chúng kiểm soát.

Phân tích mã độc

Đội ngũ an ninh đã tải xuống và phân tích các gói phụ thuộc nghi ngờ, phát hiện trong số đó có chứa mã độc được làm mờ cao. Mã này thực hiện các chức năng sau:

1. Quét tệp máy tính của người dùng, tìm kiếm nội dung liên quan đến ví hoặc Khóa riêng
2. Tải thông tin nhạy cảm đã phát hiện lên máy chủ do kẻ tấn công kiểm soát

Phương pháp tấn công

1. Kiểm soát nhiều tài khoản GitHub, Fork và phân phát các dự án độc hại
2. Tăng số lượng Fork và Star của dự án, nâng cao độ tin cậy
3. Thay thế liên kết tải xuống gói NPM, vượt qua kiểm tra chính thức
4. Sử dụng mã làm rối tăng độ khó phân tích

Dòng tiền

Sử dụng công cụ phân tích trên chuỗi để theo dõi phát hiện, một phần quỹ bị đánh cắp đã được chuyển đến một nền tảng giao dịch tiền điện tử nào đó.

Đề xuất an toàn

1. Hãy cẩn thận với các dự án GitHub không rõ nguồn gốc, đặc biệt là các dự án liên quan đến việc thao tác ví.
2. Chạy và gỡ lỗi mã bên thứ ba trong môi trường độc lập và không có dữ liệu nhạy cảm
3. Thường xuyên kiểm tra an ninh hệ thống, kịp thời cập nhật phần mềm và biện pháp bảo vệ

Sự kiện lần này một lần nữa nhấn mạnh tầm quan trọng của việc duy trì cảnh giác khi xử lý tài sản tiền điện tử. Các kẻ tấn công đang liên tục đổi mới phương thức, người dùng và nhà phát triển cần nâng cao nhận thức về an ninh và thực hiện các biện pháp bảo vệ cần thiết.