Kode jahat di GitHub menyamar sebagai proyek Sumber Terbuka menyebabkan aset enkripsi pengguna dicuri

【koin界】7 Juli, menurut tim keamanan, pada 2 Juli seorang korban melaporkan bahwa ia telah menggunakan sebuah proyek sumber terbuka yang dihosting di GitHub —— zldp2002/solana-pumpfun-bot, dan kemudian aset enkripsi dicuri. Setelah dianalisis, dalam peristiwa serangan ini, penyerang menyamar sebagai proyek sumber terbuka yang sah (solana-pumpfun-bot), yang memicu pengguna untuk mengunduh dan menjalankan kode berbahaya. Di balik penyamaran untuk meningkatkan popularitas proyek, pengguna tanpa waspada menjalankan proyek Node.js yang membawa ketergantungan berbahaya, yang menyebabkan kebocoran kunci pribadi Dompet dan pencurian aset. Seluruh rangkaian serangan melibatkan beberapa akun GitHub yang bekerja sama, memperluas jangkauan penyebaran, meningkatkan kredibilitas, dan sangat menipu. Selain itu, serangan semacam ini menggunakan teknik rekayasa sosial dan metode teknis secara bersamaan, sehingga sangat sulit untuk sepenuhnya mempertahankan di dalam organisasi.

Para ahli keamanan menyarankan pengembang dan pengguna untuk waspada terhadap proyek GitHub yang tidak dikenal, terutama yang melibatkan Dompet atau Kunci Pribadi. Jika perlu untuk menjalankan debug, disarankan untuk menjalankan dan melakukan debug di lingkungan mesin yang terpisah dan tidak memiliki data sensitif.