Conform PANews, un incident de securitate implicând un proiect open-source găzduit pe GitHub a dus la furtul de active criptomonede. Pe 2 iulie, o victimă a raportat utilizarea proiectului numit zldp2002/solana-pumpfun-bot, care a condus la accesul neautorizat și furtul activelor lor digitale. Echipa de securitate SlowMist a analizat atacul, dezvăluind că autorii au deghizat codul malițios ca un proiect open-source legitim. Această înșelăciune a încurajat utilizatorii să descarce și să execute proiectul Node.js dăunător, care conținea dependențe malițioase. Drept urmare, cheile private ale portofelelor utilizatorilor au fost compromise, ducând la furtul activelor.
Atacul a implicat mai multe conturi GitHub care au lucrat în coordonare, ceea ce a extins raza de acțiune și credibilitatea proiectului malițios, făcându-l extrem de înșelător. Acest tip de atac combină ingineria socială cu metode tehnice, făcându-l provocator de apărat chiar și în cadrul organizațiilor.
SlowMist sfătuiește dezvoltatorii și utilizatorii să manifeste o prudență extremă atunci când se ocupă de proiecte GitHub necunoscute, în special cele care implică operațiuni cu portofele sau chei private. Se recomandă să se ruleze și să se depaneze astfel de proiecte în medii izolate fără date sensibile pentru a reduce riscurile.
