Phantom 钱包免受 Solana 供应链攻击

Phantom 钱包是安全的，尽管有传言称其可能在 Solana 供应链攻击中受到损害。在用于 Solana 的 Web3 JS 库中注入恶意代码后，Solana 用户面临风险。 

Phantom 钱包宣布其未受 Solana 供应链攻击的影响，该攻击是在一个开源 Web3 库中发现的。该钱包未报告其自身存在任何漏洞利用，尽管可能有未知数量的用户受到影响。该钱包本身并未使用任何被 compromised 的版本。 

Phantom 未受此漏洞影响。

我们的安全团队确认，我们从未使用过被利用的 @solana/web3.js https://t.co/9wHZ4cnwa1 版本

— Phantom (@phantom) 12 月 3 日, 2024

Solana 的构建者和用户可能暴露于两个恶意的 web3.js 版本：1.95.6 和 1.96.7。较早的版本是安全的，升级到 1.95.8 版本也是安全的。

此次攻击于 12 月 2 日被发现，影响了应用程序、机器人和托管服务。这个广泛使用的库中包含请求和广播私钥的代码，从而危及用户钱包的安全。 

根据 Anza 开发公司的记录，该账户在 12 月 2 日暴露了约 5 小时，这限制了该时间窗口内的潜在下载数量。 

疑似版本已被立即下架，但应用程序和项目可能其多重签名或其他凭证已暴露。

目前，没有任何关于主要 Solana 应用程序或账户更改钱包或存储的数据。最后一笔流向攻击者钱包的交易发生在 12 月 3 日，进一步表明该漏洞利用仅影响了有限数量的用户。 

与此同时，其中一个被识别的钱包正在将资金转移到一个拥有大量 SOL 和其他资产（包括 Jupiter (JUP)）的新账户。该新账户已被 Nansen 识别为 高余额 钱包。与黑客攻击不同，此次黑客所得收益尚未被交易或伪装。

从 Solana 钱包 中 漏洞利用  

尽管影响深远，但此次攻击似乎并未影响高价值钱包。被识别的 攻击者钱包 提取了约 16 万美元的 SOL 和九个价值 31,300 美元的代币。攻击者最终测试了具有数十亿笔交易请求的钱包，表明可能还有更多未知的受影响钱包。 

漏洞利用收益有限的原因之一是，Solana 网络的交易失败率仍超过 35%。然而，这些尝试表明，攻击者可能通过暴露的应用程序获得了更多私钥。 

此次攻击是通过社会工程学手段进行的，使恶意行为者得以访问 web3.js 库仓库。据报道，项目构建者收到了一条钓鱼链接，攻击者借此请求并获得了访问权限。恶意数据集已被 标记 并发布，研究人员可通过 GitHub 获取。

供应链攻击在过去一年中涌现，Lottie player 也曾被用作获取钱包访问权的途径。然而，直接针对私钥的攻击更为罕见。在 Solana 应用程序的情况下，由于某些应用程序出于合法目的也需要相同的信息，攻击者成功获取了私钥。

虽然大多数 Solana 应用程序已被证明是安全的，但近期涌入的大量零售用户暴露了一些潜在漏洞。 

代码依赖关系和使用的责任在于项目方。随着快速构建，web3.js 库在一周内被下载了 35 万至 40 万次，导致更广泛的潜在暴露风险。 

Solana 钱包攻击是一个关键风险

Solana 清道夫（drainers）正变得愈发活跃，而防止更大规模漏洞利用的因素之一是，大多数钱包中的余额仍低于 1 SOL。 

风险之一是，一旦暴露给清道夫，Solana 钱包将始终处于风险之中。与以太坊不同，Solana 钱包无法撤销其权限。 

Solana 网络尚未像以太坊那样遭受大规模漏洞利用，但针对个人钱包的攻击却屡见不鲜。其中一个途径包括 Telegram，它可以连接到 Solana 钱包用于机器人操作或更便捷的交易。 

使用相同的 Telegram 凭证也意味着钱包可能会暴露并被恶意应用程序清空。最好的方法是使用一个专用钱包进行存储，另一个用于 Web3 任务。