Користувачі Solana зазнали атаки прихованого шкідливого коду, витік закритого ключа призвів до крадіжки активів

На початку липня 2025 року було виявлено випадок атаки зловмисного коду на користувачів Solana. Один з користувачів, використовуючи відкритий проект, розміщений на GitHub, виявив, що його криптоактиви були вкрадені. Після розслідування командою безпеки, було з'ясовано, що інцидент пов'язаний з ретельно замаскованим зловмисним проектом Node.js.

Дослідження виявило, що зловмисники приваблюють користувачів, публікуючи на GitHub, здавалося б, нормальні відкриті проекти. Кількість Star і Fork цих проектів штучно завищена, щоб збільшити довіру. Однак оновлення коду проекту зосереджено в короткостроковій перспективі, відзначаючись відсутністю ознак постійного обслуговування.

Подальший аналіз показує, що проект залежить від підозрілого стороннього пакету під назвою crypto-layout-utils. Цей пакет був видалений з офіційного NPM, і зазначена версія не з'являлася в історії NPM. Зловмисники змінили файл package-lock.json, вказавши посилання для завантаження залежного пакету на контрольований ними репозиторій GitHub.

Цей шкідливий пакет NPM пройшов високу обфускацію, його функція полягає в скануванні чутливих файлів на комп'ютері користувача, особливо тих, що стосуються криптовалютних гаманців і Закритий ключ. Щойно цільовий файл буде виявлено, він буде завантажений на сервер, контрольований зловмисником.

Дослідження також виявило, що зловмисники можуть контролювати кілька облікових записів GitHub, щоб розповсюджувати шкідливе програмне забезпечення та підвищувати популярність проектів. Окрім crypto-layout-utils, ще один шкідливий пакет під назвою bs58-encrypt-utils також використовувався для подібних атак.

Аналіз на блокчейні показує, що вкрадені кошти після ряду переказів врешті-решт потрапили на певну криптовалютну біржу.

Цей метод атаки поєднує соціальну інженерію та технічні засоби, має високу обманність. Він націлений не лише на окремих користувачів, але також може становити загрозу для організацій. Рекомендується розробникам та користувачам бути обережними щодо проектів GitHub з невідомим походженням, особливо тих, що пов'язані з гаманцями або Закритими ключами. Якщо потрібно налагоджувати такі проекти, краще робити це в ізольованому середовищі, щоб уникнути витоку чутливих даних.

Ця подія ще раз нагадує нам про те, що в децентралізованому світі безпека користувачів та їх обізнаність є надзвичайно важливими. В умовах зростаючої складності атак, необхідно залишатися пильними, регулярно оновлювати свої знання з безпеки та вживати необхідних заходів захисту, щоб краще захистити свої цифрові активи.