Selon PANews, un incident de sécurité impliquant un projet open-source hébergé sur GitHub a entraîné le vol d'actifs en cryptomonnaie. Le 2 juillet, une victime a signalé avoir utilisé le projet nommé zldp2002/solana-pumpfun-bot, ce qui a conduit à l'accès non autorisé et au vol de ses actifs numériques. L'équipe de sécurité de SlowMist a analysé l'attaque, révélant que les auteurs avaient déguisé le code malveillant en un projet open-source légitime. Cette tromperie a encouragé les utilisateurs à télécharger et à exécuter le projet Node.js nuisible, qui contenait des dépendances malveillantes. En conséquence, les clés privées des portefeuilles des utilisateurs ont été compromises, entraînant le vol d'actifs.
L'attaque impliquait plusieurs comptes GitHub travaillant en coordination, ce qui a élargi la portée et la crédibilité du projet malveillant, le rendant très trompeur. Ce type d'attaque combine l'ingénierie sociale avec des méthodes techniques, rendant la défense difficile même au sein des organisations.
SlowMist conseille aux développeurs et aux utilisateurs d'exercer une extrême prudence lorsqu'ils traitent des projets GitHub inconnus, en particulier ceux impliquant des opérations de portefeuille ou de clé privée. Il est recommandé d'exécuter et de déboguer de tels projets dans des environnements isolés sans données sensibles pour atténuer les risques.
