Недавно компания по кибербезопасности SlowMist сообщила, что с ней связался пользователь, который пострадал от злонамеренного проекта с открытым исходным кодом на GitHub, который, по всей видимости, был ботом Pump.fun для торговли токенами на основе Solana.
Пользователь загрузил и запустил, казалось бы, безобидный проект GitHub. Вскоре после этого его кошелек был опустошен.
Ложный проект был приложением Node.js с зависимостью от пакета, загруженного по пользовательской ссылке GitHub. Этот пакет смог обойти проверки безопасности реестра NPM. Это типичное поведение для злоумышленников, которые склонны прятать вредоносный код в пакетах, размещенных на внешних ресурсах, чтобы избежать обнаружения.
Затем пакет сканировал кошелек жертвы для получения информации о крипто-кошельке. Затем он отправил приватные ключи на сервер, контролируемый злоумышленником.
Хакер подделал популярность, используя фиктивные аккаунты GitHub, чтобы выглядеть надежно.
SlowMist подчеркнул, что пользователи никогда не должны слепо доверять проектам на GitHub
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
Предупреждение о мошенничестве: Жертвы теряют Крипто из-за злонамеренного Solana бота на GitHub
Недавно компания по кибербезопасности SlowMist сообщила, что с ней связался пользователь, который пострадал от злонамеренного проекта с открытым исходным кодом на GitHub, который, по всей видимости, был ботом Pump.fun для торговли токенами на основе Solana.
Пользователь загрузил и запустил, казалось бы, безобидный проект GitHub. Вскоре после этого его кошелек был опустошен.
Ложный проект был приложением Node.js с зависимостью от пакета, загруженного по пользовательской ссылке GitHub. Этот пакет смог обойти проверки безопасности реестра NPM. Это типичное поведение для злоумышленников, которые склонны прятать вредоносный код в пакетах, размещенных на внешних ресурсах, чтобы избежать обнаружения.
Затем пакет сканировал кошелек жертвы для получения информации о крипто-кошельке. Затем он отправил приватные ключи на сервер, контролируемый злоумышленником.
Хакер подделал популярность, используя фиктивные аккаунты GitHub, чтобы выглядеть надежно.
SlowMist подчеркнул, что пользователи никогда не должны слепо доверять проектам на GitHub