تحليل حادثة سرقة أصول مستخدمي Solana

في 2 يوليو 2025، طلب أحد المستخدمين المساعدة من فريق الأمان، مشيرًا إلى أنه بعد استخدام مشروع مفتوح المصدر على GitHub، تم سرقة أصوله المشفرة. بعد التحقيق، تم اكتشاف أن هذه كانت حادثة هجوم استخدمت حزمة NPM خبيثة لسرقة المفاتيح الخاصة.

خلفية الحدث

استخدم الضحية مشروع GitHub المسمى "solana-pumpfun-bot"، ثم اكتشف أن أصوله قد سُرقت. على الرغم من أن هذا المشروع لديه عدد كبير من النجوم والفروع، إلا أن توقيت تقديم الشفرة مركّز بشكل غير طبيعي ويفتقر إلى التحديث المستمر.

تحليل أساليب الهجوم

1. المشروع يستشهد بحزمة طرف ثالث مشبوهة "crypto-layout-utils"، والتي تم سحبها من قبل NPM رسميًا.

2. المهاجم قام باستبدال روابط تحميل الحزم في package-lock.json، مشيرًا إلى مستودع GitHub.

3. تم تشفير الحزمة الضارة بشكل مكثف، مما أتاح لها وظيفة مسح ملفات الكمبيوتر الخاصة بالمستخدم، وبمجرد اكتشاف محتوى متعلق بالمحفظة أو المفتاح الخاص، يتم رفعه إلى الخادم الذي يتحكم فيه المهاجم.

4. قد يتحكم المهاجمون في عدة حسابات على GitHub لتوزيع البرامج الضارة وزيادة موثوقية المشروع.

5. بعض مشاريع Fork استخدمت حزمة خبيثة أخرى "bs58-encrypt-utils-1.0.3".

تدفق الأموال

تحليل السلسلة يظهر أن المهاجمين قاموا بنقل الأموال المسروقة إلى منصة تداول معينة.

نصائح للوقاية

1. كن حذرًا للغاية من مشاريع GitHub ذات المصدر غير المعلوم، وخاصة تلك التي تتعلق بمحافظ أو عمليات المفاتيح الخاصة.

2. تشغيل وتصحيح المشاريع غير المعروفة في بيئة مستقلة وخالية من البيانات الحساسة.

3. يجب على المطورين مراجعة اعتمادات المشروع بعناية، مع إيلاء اهتمام خاص للحزم الخارجية المشبوهة.

4. قم بفحص وتحديث تبعيات المشروع بانتظام، وإزالة المكونات التي تشكل مخاطر في الوقت المناسب.

5. استخدم أدوات وخدمات أمان موثوقة، مثل أدوات تتبع الأصول على السلسلة، لاكتشاف أي شذوذ في الوقت المناسب.

تجمع هذه الأنواع من الهجمات بين الهندسة الاجتماعية والأساليب التقنية، مما يجعل من الصعب الدفاع عنها بالكامل. يجب على المستخدمين والمطورين تعزيز الوعي بالأمان واتخاذ تدابير متعددة للحماية لتقليل مخاطر التعرض للهجوم.