Según PANews, un incidente de seguridad que involucra un proyecto de código abierto alojado en GitHub ha resultado en el robo de activos de criptomonedas. El 2 de julio, una víctima reportó haber utilizado el proyecto llamado zldp2002/solana-pumpfun-bot, lo que condujo al acceso no autorizado y al robo de sus activos digitales. El equipo de seguridad de SlowMist analizó el ataque, revelando que los perpetradores disfrazaron el código malicioso como un proyecto de código abierto legítimo. Este engaño alentó a los usuarios a descargar y ejecutar el dañino proyecto de Node.js, que contenía dependencias maliciosas. Como resultado, las claves privadas de las billeteras de los usuarios fueron comprometidas, lo que llevó al robo de activos.
El ataque involucró múltiples cuentas de GitHub trabajando en coordinación, lo que amplió el alcance y la credibilidad del proyecto malicioso, haciéndolo altamente engañoso. Este tipo de ataque combina ingeniería social con métodos técnicos, lo que dificulta la defensa incluso dentro de las organizaciones.
SlowMist aconseja a desarrolladores y usuarios que ejerzan extrema precaución al tratar con proyectos de GitHub desconocidos, especialmente aquellos que involucran operaciones con billeteras o claves privadas. Se recomienda ejecutar y depurar tales proyectos en entornos aislados sin datos sensibles para mitigar riesgos.
