Согласно PANews, инцидент с безопасностью, связанный с открытым проектом, размещенным на GitHub, привел к краже криптовалютных активов. 2 июля жертва сообщила о использовании проекта под названием zldp2002/solana-pumpfun-bot, что привело к несанкционированному доступу и краже их цифровых активов. Команда безопасности SlowMist проанализировала атаку, выявив, что злоумышленники скрыли вредоносный код под видом законного открытого проекта. Этот обман побудил пользователей загрузить и выполнить вредоносный проект Node.js, который содержал вредоносные зависимости. В результате приватные ключи кошельков пользователей были скомпрометированы, что привело к краже активов.
Атака включала в себя несколько аккаунтов GitHub, работающих в координации, что расширило охват и доверие к вредоносному проекту, сделав его крайне обманчивым. Этот тип атаки сочетает в себе социальную инженерию с техническими методами, что делает защиту от нее сложной даже внутри организаций.
SlowMist советует разработчикам и пользователям проявлять крайнюю осторожность при работе с незнакомыми проектами на GitHub, особенно с теми, которые связаны с операциями с кошельками или приватными ключами. Рекомендуется запускать и отлаживать такие проекты в изолированных средах без конфиденциальных данных для снижения рисков.
