【比推】Selon l'équipe de sécurité, le 2 juillet, une victime a déclaré avoir utilisé un projet open source hébergé sur GitHub — zldp2002/solana-pumpfun-bot, le jour précédent, et que ses actifs de chiffrement avaient été volés. Après analyse, il a été constaté que lors de cet incident d'attaque, l'attaquant s'est déguisé en projet open source légitime (solana-pumpfun-bot), incitant les utilisateurs à télécharger et à exécuter du code malveillant. Sous le couvert de l'augmentation de la popularité du projet, les utilisateurs ont exécuté sans méfiance un projet Node.js contenant des dépendances malveillantes, ce qui a entraîné la fuite de la clé privée du portefeuille et le vol d'actifs. L'ensemble de la chaîne d'attaque a impliqué plusieurs comptes GitHub opérant ensemble, élargissant la portée de la propagation et augmentant sa crédibilité, ce qui est extrêmement trompeur. De plus, ce type d'attaque utilise une combinaison d'ingénierie sociale et de moyens techniques, rendant la défense complète au sein de l'organisation très difficile.
Il est conseillé aux développeurs et aux utilisateurs de rester très vigilants face aux projets GitHub d'origine inconnue, en particulier lorsqu'il s'agit d'opérations sur des portefeuilles ou des clés privées. Si un débogage est vraiment nécessaire, il est recommandé de l'exécuter et de le déboguer dans un environnement machine indépendant et sans données sensibles.
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
22 J'aime
Récompense
22
6
Reposter
Partager
Commentaire
0/400
OnChainSleuth
· 07-06 11:28
En fait, personne n'a vérifié la signature de ce petit bot ?
Voir l'originalRépondre0
LayoffMiner
· 07-06 01:27
Rig de minage est en train de prendre la poussière à la maison.
Voir l'originalRépondre0
RektDetective
· 07-04 12:30
Encore un pigeon pris pour un idiot.
Voir l'originalRépondre0
AltcoinMarathoner
· 07-03 12:09
just another mile marker in crypto's security marathon... stay vigilant fam
Répondre0
MetaverseLandlady
· 07-03 11:55
Jouer, jouer, jouer, et vous saurez télécharger, c'est bien fait pour être volé.
Voir l'originalRépondre0
CommunityWorker
· 07-03 11:50
Je me suis éclipsé, je n'ose vraiment pas toucher à ces Bots.
Des projets malveillants sur GitHub se faisant passer pour des Bots Solana ont entraîné le vol des actifs chiffrés des utilisateurs.
【比推】Selon l'équipe de sécurité, le 2 juillet, une victime a déclaré avoir utilisé un projet open source hébergé sur GitHub — zldp2002/solana-pumpfun-bot, le jour précédent, et que ses actifs de chiffrement avaient été volés. Après analyse, il a été constaté que lors de cet incident d'attaque, l'attaquant s'est déguisé en projet open source légitime (solana-pumpfun-bot), incitant les utilisateurs à télécharger et à exécuter du code malveillant. Sous le couvert de l'augmentation de la popularité du projet, les utilisateurs ont exécuté sans méfiance un projet Node.js contenant des dépendances malveillantes, ce qui a entraîné la fuite de la clé privée du portefeuille et le vol d'actifs. L'ensemble de la chaîne d'attaque a impliqué plusieurs comptes GitHub opérant ensemble, élargissant la portée de la propagation et augmentant sa crédibilité, ce qui est extrêmement trompeur. De plus, ce type d'attaque utilise une combinaison d'ingénierie sociale et de moyens techniques, rendant la défense complète au sein de l'organisation très difficile.
Il est conseillé aux développeurs et aux utilisateurs de rester très vigilants face aux projets GitHub d'origine inconnue, en particulier lorsqu'il s'agit d'opérations sur des portefeuilles ou des clés privées. Si un débogage est vraiment nécessaire, il est recommandé de l'exécuter et de le déboguer dans un environnement machine indépendant et sans données sensibles.