Анализ события кражи закрытых ключей пользователей Solana с помощью вредоносных NPM пакетов

В начале июля 2025 года было раскрыто злонамеренное нападение на пользователей Solana. Злоумышленники, маскируясь под легитимные открытые проекты, заставляли пользователей загружать и запускать Node.js проекты, содержащие вредоносный код, с целью кражи закрытых ключей кошелька и криптоактивов пользователей.

Ход события

2 июля жертва обратилась за помощью к команде безопасности, сообщив, что после использования открытого проекта на GitHub "solana-pumpfun-bot" ее криптоактивы были украдены. Команда безопасности немедленно начала расследование.

Исследование показало, что в этом проекте GitHub есть аномалии:

1. Время подачи кода сосредоточено на три недели назад, недостаток постоянного обновления
2. Проект зависел от подозрительной сторонней библиотеки "crypto-layout-utils"
3. Этот пакет зависимости был удален официальным NPM, и указанная версия отсутствует в истории NPM.

Дальнейший анализ показал, что злоумышленник заменил ссылку для скачивания "crypto-layout-utils" в package-lock.json на адрес репозитория GitHub, которым он управляет.

Анализ вредоносного кода

Команда безопасности загрузила и проанализировала подозрительные пакеты зависимостей и обнаружила, что они содержат сильно запутанный вредоносный код. Этот код реализует следующие функции:

1. Сканируйте файлы компьютера пользователя, ищите содержимое, связанное с кошельком или Закрытым ключом.
2. Загрузите обнаруженную конфиденциальную информацию на сервер, контролируемый злоумышленником.

Способы атаки

1. Управление несколькими аккаунтами GitHub, форкать и распространять вредоносные проекты
2. Увеличьте количество Fork и Star высоко оцененных проектов, чтобы повысить доверие.
3. Заменить ссылки для загрузки пакетов NPM, чтобы обойти официальную проверку
4. Использование обфусцированного кода увеличивает сложность анализа

Направление потоков средств

Используя инструменты анализа блокчейна, было установлено, что часть украденных средств была переведена на одну из криптовалютных бирж.

Рекомендации по безопасности

1. Будьте осторожны с проектами на GitHub, источники которых неизвестны, особенно с проектами, связанными с операциями с кошельками.
2. Запуск и отладка стороннего кода в независимой среде без конфиденциальных данных
3. Регулярно проверяйте безопасность системы и своевременно обновляйте программное обеспечение и защитные меры

Это событие еще раз подчеркивает важность сохранения бдительности при обращении с криптоактивами. Нападающие постоянно разрабатывают новые методы, и пользователи, а также разработчики должны повысить свою безопасность и принять необходимые меры защиты.