SolanaとEthereumの開発者がタイポスクワットnpmパッケージによって攻撃される

EthereumとSolanaの開発者が、秘密鍵を盗んで攻撃者に送信する5つの悪意のあるnpmパッケージの標的となりました。これらのパッケージはタイポスキャッティングに依存し、正規の暗号通貨ライブラリを模倣しています。

Socketのセキュリティ研究者は、単一のアカウントの下で公開された5つの悪意のあるnpmパッケージを発見しました。この悪意のあるキャンペーンはEthereumとSolanaのエコシステムをカバーし、アクティブなコマンドアンドコントロール（C2）インフラストラクチャを持っています。

1つのパッケージは5分以内に公開解除されましたが、コードを隠し、盗まれたデータを攻撃者に送信しました。

ハッカーはEthereumとSolanaの開発者を標的にしています

暗号通貨ハッカーは小売投資家や高齢者だけでなく標的にしています。彼らはソーシャルエンジニアリング戦術とタイポスキャッティングを利用して開発者を騙し、暗号通貨を盗みます。

悪意のあるパッケージの役割は、鍵をハードコードされたTelegramボットにリダイレクトすることです。

悪意のあるnpm攻撃は、開発者が秘密鍵を渡すために使用する関数をフックすることで機能します。関数が呼び出されると、パッケージは予期される結果を返す前に、攻撃者のTelegramボットに鍵を送信します。これにより、気づいていない開発者に対して攻撃は不可視になります。

セキュリティ研究者によると、4つのパッケージがSolana開発者を標的としており、1つがEthereum開発者を標的としています。

Solanaを標的とする4つのパッケージはBase58 decode()呼び出しをインターセプトし、一方、ethersproject-walletパッケージはEthereum Walletコンストラクタを標的としています。

すべての悪意のあるパッケージはグローバルfetchに依存しており、Node.js 18以降が必要です。古いバージョンでは、リクエストは静かに失敗し、データは盗まれません。

すべてのパッケージは同じTelegramエンドポイントにデータを送信します。ボットトークンとチャットIDはすべてのパッケージにハードコードされており、外部サーバーがないため、Telegramボットがオンラインである限りチャンネルは機能します。

raydium-bs58パッケージが最もシンプルです。これはdecode関数を変更し、結果を返す前に鍵を送信します。READMEは正規のSDKからコピーされており、著者フィールドは空です。

2番目のSolanaパッケージ、base-x-64は、難読化でペイロードを隠します。ペイロードは、盗まれた鍵を含むメッセージをTelegramに送信します。

bs58-basicパッケージ自体には悪意のあるコードを含んでいませんが、base-x-64に依存し、ペイロードをチェーンを通じて渡します。

Ethereumパッケージ、ethersproject-walletパッケージは、実際のライブラリ@ethersproject/walletをコピーしています。悪意のあるパッケージはコンパイル後に1行追加します。この変更はコンパイルされたファイルにのみ表示され、手動での改ざんが確認できます。

すべてのパッケージは同じコマンドエンドポイント、タイポ、ビルドアーティファクトを共有しています。2つのパッケージは同一のコンパイル済みファイルを使用しています。別のパッケージは直接他方に依存しています。これらのリンクは、同じワークフローを使用する単一のアクターを示しています。

セキュリティ研究者によってnpmに取り下げリクエストが提出されました。この攻撃で失われた秘密鍵は侵害されており、関連する資金は速やかに新しいウォレットに移動する必要があります。