SlowMist: เครื่องมือ Solana ยอดนิยมของ GitHub ซ่อนกับดักในการขโมยเหรียญ
Odaily แพลนเน็ต เดลี่ ตามการตรวจสอบของทีมรักษาความปลอดภัย SlowMist เมื่อวันที่ 2 กรกฎาคม เหยื่อรายหนึ่งกล่าวว่าเขาใช้โปรเจ็กต์โอเพ่นซอร์สที่โฮสต์บน GitHub ในวันก่อนหน้า - zldp2002/solana-pumpfun-bot จากนั้นสินทรัพย์ที่เข้ารหัสของเขาถูกขโมยไป ตามการวิเคราะห์ของ SlowMist ในการโจมตีครั้งนี้ ผู้โจมตีล่อลวงผู้ใช้ให้ดาวน์โหลดและเรียกใช้โค้ดที่เป็นอันตรายโดยปลอมตัวเป็นโปรเจ็กต์โอเพ่นซอร์สที่ถูกต้องตามกฎหมาย (solana-pumpfun-bot) ภายใต้ข้ออ้างของความนิยมที่เพิ่มขึ้นของโปรเจ็กต์ ผู้ใช้เรียกใช้โปรเจ็กต์ Node.js ด้วยการอ้างอิงที่เป็นอันตรายโดยไม่มีการป้องกันใดๆ ส่งผลให้คีย์ส่วนตัวของกระเป๋าเงินรั่วไหลและสินทรัพย์ถูกขโมย ห่วงโซ่การโจมตีทั้งหมดเกี่ยวข้องกับบัญชี GitHub หลายบัญชีที่ต้องทำงานประสานกัน ซึ่งขยายขอบเขตของการเผยแพร่ เพิ่มความน่าเชื่อถือ และหลอกลวงอย่างยิ่ง ในขณะเดียวกัน การโจมตีประเภทนี้ใช้วิศวกรรมทางสังคมและวิธีการทางเทคนิค และยากที่จะป้องกันได้อย่างสมบูรณ์ภายในองค์กร SlowMist ขอแนะนำให้ผู้พัฒนาและผู้ใช้ระมัดระวังโปรเจ็กต์ GitHub ที่มีแหล่งที่มาไม่ชัดเจน โดยเฉพาะอย่างยิ่งเมื่อเกี่ยวข้องกับกระเป๋าสตางค์หรือการดำเนินการคีย์ส่วนตัว หากคุณจำเป็นต้องเรียกใช้และแก้ไขข้อบกพร่องจริงๆ ขอแนะนำให้เรียกใช้และแก้ไขข้อบกพร่องในสภาพแวดล้อมเครื่องอิสระที่ไม่มีข้อมูลละเอียดอ่อน
