GitHub kötü niyetli kodlar açık kaynak projeleri olarak gizlenerek kullanıcıların şifreleme varlıklarının çalınmasına neden oldu.

【coin dünyası】3 Temmuz'da güvenlik ekibine göre, 2 Temmuz'da bir mağdur, bir gün önce GitHub'da barındırılan açık kaynak bir proje olan —— zldp2002/solana-pumpfun-bot'u kullandığını ve ardından şifreleme varlıklarının çalındığını bildirdi. Analizlere göre, bu saldırı olayında, saldırganlar (solana-pumpfun-bot) adlı meşru açık kaynak projesi gibi görünüp, kullanıcıları kötü amaçlı kodu indirmeye ve çalıştırmaya teşvik ettiler. Proje popülaritesini artırma maskesi altında, kullanıcılar hiçbir önlem almadan kötü amaçlı bağımlılıklar içeren Node.js projesini çalıştırdılar, bu da Cüzdan özel anahtarlarının sızmasına ve varlıkların çalınmasına neden oldu. Tüm saldırı zinciri, birden fazla GitHub hesabının işbirliği ile gerçekleştirildi, bu da yayılma alanını genişletti, güvenilirliği artırdı ve son derece yanıltıcı hale getirdi. Aynı zamanda, bu tür saldırılar, sosyal mühendislik ve teknik yöntemlerle iki yönlü bir yaklaşım sergileyerek, organizasyon içindeki tamamen önlenmesini de zorlaştırıyor.

Güvenlik uzmanları, geliştiricilerin ve kullanıcıların bilinmeyen kaynaklardan gelen GitHub projelerine karşı dikkatli olmalarını öneriyor, özellikle cüzdan veya özel anahtar işlemleri söz konusu olduğunda. Eğer gerçekten hata ayıklama yapmanız gerekiyorsa, bağımsız ve hassas veri içermeyen bir makine ortamında çalıştırmayı ve hata ayıklamayı öneririz.