Menurut PANews, insiden keamanan yang melibatkan proyek sumber terbuka yang dihosting di GitHub telah mengakibatkan pencurian aset kripto. Pada 2 Juli, seorang korban melaporkan menggunakan proyek bernama zldp2002/solana-pumpfun-bot, yang mengakibatkan akses tidak sah dan pencurian aset digital mereka. Tim keamanan SlowMist menganalisis serangan tersebut, mengungkapkan bahwa pelaku menyamarkan kode jahat sebagai proyek sumber terbuka yang sah. Tipu daya ini mendorong pengguna untuk mengunduh dan menjalankan proyek Node.js berbahaya, yang mengandung ketergantungan berbahaya. Akibatnya, kunci pribadi dompet pengguna terkompromi, yang mengarah pada pencurian aset.
Serangan tersebut melibatkan beberapa akun GitHub yang bekerja secara kooperatif, yang memperluas jangkauan dan kredibilitas proyek jahat, menjadikannya sangat menipu. Jenis serangan ini menggabungkan rekayasa sosial dengan metode teknis, sehingga sulit untuk dipertahankan bahkan di dalam organisasi.
SlowMist menyarankan pengembang dan pengguna untuk sangat berhati-hati saat berurusan dengan proyek GitHub yang tidak dikenal, terutama yang melibatkan operasi dompet atau kunci pribadi. Disarankan untuk menjalankan dan melakukan debug proyek semacam itu di lingkungan terisolasi tanpa data sensitif untuk mengurangi risiko.
