Аналіз події крадіжки закритих ключів користувачів Solana через шкідливі пакети NPM

На початку липня 2025 року було виявлено випадок зловмисної атаки на користувачів Solana. Зловмисники, маскуючись під легітимні проєкти з відкритим кодом, спонукали користувачів завантажувати та запускати Node.js проєкти, що містять шкідливий код, з метою викрадення приватних ключів гаманців користувачів та криптоактивів.

Хід подій

2 липня жертва звернулася до команди безпеки, стверджуючи, що після використання відкритого проєкту на GitHub "solana-pumpfun-bot" її криптоактиви були вкрадені. Команда безпеки негайно розпочала розслідування.

Дослідження виявило, що в цьому проекті GitHub є аномалія:

1. Час подачі коду зосереджений на три тижні тому, відсутні постійні оновлення
2. Проект залежить від підозрілого стороннього пакету "crypto-layout-utils"
3. Цей пакет залежностей був знятий з NPM офіційно, і вказана версія не існує в історії NPM.

Додатковий аналіз показав, що зловмисники замінили посилання для завантаження "crypto-layout-utils" в package-lock.json на адресу репозиторію GitHub, яким вони керують.

Аналіз шкідливого коду

Команда з безпеки завантажила та проаналізувала підозрілі пакети залежностей і виявила, що вони містять сильно заплутаний шкідливий код. Цей код реалізує такі функції:

1. Проскануйте файли користувача на комп'ютері, щоб знайти вміст, пов'язаний з гаманцем або Закритим ключем.
2. Завантажте виявлену чутливу інформацію на сервер, контрольований зловмисником

Методи атаки

1. Контролювати кілька облікових записів GitHub, Fork та розповсюджувати шкідливі проекти
2. Підвищити кількість Fork і Star високих проектів, підвищити довіру
3. Замінити посилання для завантаження пакунків NPM, обійти офіційний аудит
4. Використання обфускуючого коду для ускладнення аналізу

Напрямок грошових потоків

Використовуючи інструменти аналізу блокчейну, виявлено, що частина вкрадених коштів була переведена на певну криптовалютну біржу.

Рекомендації з безпеки

1. Обережно ставтеся до проектів GitHub з невідомими джерелами, особливо до проектів, що стосуються операцій з гаманцями.
2. Запустіть і налагодьте сторонній код у незалежному середовищі без чутливих даних
3. Регулярно перевіряйте безпеку системи, вчасно оновлюйте програмне забезпечення та заходи захисту

Ця подія ще раз підкреслила важливість збереження пильності при обробці криптоактивів. Зловмисники постійно вдосконалюють свої методи, тому користувачі та розробники повинні підвищити свою обізнаність про безпеку та вжити необхідних заходів захисту.