Według PANews, incydent bezpieczeństwa związany z projektem open-source hostowanym na GitHubie doprowadził do kradzieży aktywów kryptowalutowych. 2 lipca ofiara zgłosiła użycie projektu o nazwie zldp2002/solana-pumpfun-bot, co doprowadziło do nieautoryzowanego dostępu i kradzieży jej aktywów cyfrowych. Zespół bezpieczeństwa SlowMist przeanalizował atak, ujawniając, że sprawcy ukryli złośliwy kod jako legalny projekt open-source. To oszustwo zachęciło użytkowników do pobrania i uruchomienia szkodliwego projektu Node.js, który zawierał złośliwe zależności. W rezultacie klucze prywatne portfeli użytkowników zostały skompromitowane, co doprowadziło do kradzieży aktywów.
Atak obejmował wiele kont GitHub działających w koordynacji, co zwiększyło zasięg i wiarygodność złośliwego projektu, czyniąc go bardzo zwodniczym. Tego rodzaju atak łączy inżynierię społeczną z metodami technicznymi, co sprawia, że obrona przed nim jest trudna nawet w ramach organizacji.
SlowMist zaleca deweloperom i użytkownikom zachowanie ekstremalnej ostrożności podczas pracy z nieznanymi projektami na GitHubie, szczególnie tymi związanymi z operacjami portfeli lub kluczy prywatnych. Zaleca się uruchamianie i debugowanie takich projektów w izolowanych środowiskach, bez danych wrażliwych, aby zminimalizować ryzyko.
