ソラナユーザーが悪意のあるNPMパッケージ攻撃に遭い、秘密鍵が盗まれた

2025年7月初、ソラナのユーザーがセキュリティチームに助けを求め、GitHub上のオープンソースプロジェクトを使用した後に資産が盗まれたと報告しました。調査の結果、これは巧妙に計画された悪意のあるNPMパッケージ攻撃事件であることが判明しました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

攻撃者はsolana-pumpfun-botという合法的なオープンソースプロジェクトを装い、複数のGitHubアカウントを通じてプロジェクトの熱度と信頼性を高めています。このプロジェクトは、公式に削除された悪意のあるNPMパッケージcrypto-layout-utilsに依存しています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

攻撃者はpackage-lock.json内でcrypto-layout-utilsのダウンロードリンクを置き換え、自分が管理するGitHubリポジトリにポイントしました。この悪意のあるパッケージは、ユーザーのコンピュータ上のウォレットファイルと秘密鍵をスキャンし、敏感な情報を攻撃者のサーバーにアップロードします。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

分析によると、攻撃者は6月中旬から悪意のあるNPMパッケージやNode.jsプロジェクトを配布し始めた可能性があります。初期のバージョンでは、別の悪意のあるパッケージbs58-encrypt-utilsも使用されていました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

この攻撃手法は、ソーシャルエンジニアリングと技術的手段を組み合わせており、非常に強い欺瞞性と隠蔽性を持っています。ユーザーは無防備な状態で悪意のある依存関係を含むプロジェクトを実行し、秘密鍵が漏洩し、資産が盗まれる結果となります。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれます

セキュリティ専門家は、開発者とユーザーに対して、財布や秘密鍵の操作に関わるプロジェクトを含め、出所不明のGitHubプロジェクトに対して高い警戒心を持つように勧めています。このようなプロジェクトをデバッグする必要がある場合は、独立した敏感データを含まない環境で行うことが最善です。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

今回の事件は再び私たちに警告しています。オープンなオープンソースエコシステムの中で、悪意のあるコードの偽装手段がますます巧妙になっています。ユーザーと開発者はともにセキュリティ意識を高め、第三者の依存関係の審査を強化して、このような攻撃を防ぐ必要があります。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaユーザー資産が盗まれる