网络安全公司 SlowMist 表示，一个伪装成 Solana 交易机器人的虚假 GitHub 存储库被用来传播隐藏的恶意软件，窃取加密钱包凭证。

一个伪装成合法 Solana 交易机器人的 GitHub 仓库被曝光，据称隐藏了窃取加密货币的恶意软件。

据区块链安全公司 SlowMist 周五发布的报告称，由账户“zldp2002”托管的现已删除的 solana-pumpfun-bot 仓库模仿了一个真实的开源工具来窃取用户凭证。据报道，SlowMist 在一名用户于周四发现自己的资金被盗后启动了调查。

SlowMist 表示，该恶意 GitHub 仓库“拥有相对较多的 star 和 fork”。其所有目录中的所有代码提交都发生在大约三周前，存在明显的违规行为，并且缺乏一致的模式，根据 SlowMist 的说法，这表明这是一个合法项目。

该项目基于 Node.js，并使用第三方软件包 crypto-layout-utils 作为依赖项。“经过进一步检查，我们发现该软件包已从官方 NPM 注册表中删除，”SlowMist 表示。

现已删除的 GitHub 代码库截图。来源：SlowMist
相关：加密货币盗窃活动利用钱包克隆攻击 Firefox 用户

可疑的 NPM 软件包
该软件包无法再从官方节点包管理器 (NPM) 注册表下载，这促使调查人员质疑受害者是如何下载该软件包的。SlowMist 进一步调查后发现，攻击者正在从一个单独的 GitHub 代码库下载该库。

在分析该软件包后，SlowMist 研究人员发现它使用 jsjiami.com.v7 进行了高度混淆，这使得分析更加困难。在去混淆后，调查人员确认这是一个扫描本地文件的恶意软件包，如果它检测到与钱包相关的内容或私钥，就会将其上传到远程服务器。

相关：朝鲜黑客利用不寻常的 Mac 漏洞攻击加密货币项目

不止一个代码库
SlowMist 的进一步调查显示，攻击者可能控制了一批 GitHub 帐户。这些账户被用来将项目分叉成恶意变体，传播恶意软件，同时人为地增加分叉数量和星标数量。

多个分叉的存储库表现出类似的特性，其中一些版本包含另一个恶意软件包 bs58-encrypt-utils-1.0.3。该软件包创建于 6 月 12 日，SlowMist 研究人员表示，他们认为攻击者正是从那时开始传播恶意 NPM 模块和 Node.js 项目。

此次事件是一系列针对加密货币用户的软件供应链攻击中的最新一起。最近几周，类似的攻击活动曾针对 Firefox 用户，使用虚假的钱包扩展程序，并使用 GitHub 存储库托管窃取凭证的代码。