恶意 NPM 包窃私钥，Solana 用户资产遭盗

深潮Опубликовано 2025-07-04Обновлено 2025-07-04

恶意开源项目植入后门NPM包，窃取用户私钥致Solana钱包资产被盗。

作者：Thinking

编辑：Liz

背景概述

2025 年 7 月 2 日，一名受害者联系到慢雾安全团队，寻求协助分析其钱包资产被盗的原因。事件起因于他前一天使用了一个托管在 GitHub 上的开源项目 —— zldp2002/solana-pumpfun-bot，随后加密资产被盗。

分析过程

我们随即着手调查此次事件。首先访问该项目的 GitHub 仓库：https://github.com/zldp2002/solana-pumpfun-bot，可以看到它的 Star 和 Fork 数量相对较高，但其各个目录下的代码提交时间均集中在三周前，呈现出明显的异常，缺乏正常项目应有的持续更新轨迹。

恶意NPM包窃私钥，Solana用户资产遭盗

这是一个基于 Node.js 的项目。我们首先对其依赖包进行了分析，发现其引用了一个名为 crypto-layout-utils 的第三方包。

恶意NPM包窃私钥，Solana用户资产遭盗

进一步核查发现，该依赖包已被 NPM 官方下架，而且 package.json 中指定的版本并未出现在 NPM 官方的历史记录中。我们初步判断该包为可疑组件，并已无法通过 NPM 官方源进行下载。那么，受害者又是如何获取到这个恶意依赖的呢？

恶意NPM包窃私钥，Solana用户资产遭盗

继续深入项目，我们在 package-lock.json 文件中找到了关键线索：攻击者将 crypto-layout-utils 的下载链接替换成了：https://github.com/sjaduwhv/testing-dev-log/releases/download/1.3.1/crypto-layout-utils-1.3.1.tgz。

恶意NPM包窃私钥，Solana用户资产遭盗

我们下载了这个可疑的依赖包：crypto-layout-utils-1.3.1，发现这是一个使用 jsjiami.com.v7 进行高度混淆后的代码，这增加了分析的难度。

恶意NPM包窃私钥，Solana用户资产遭盗

恶意NPM包窃私钥，Solana用户资产遭盗

解混淆后我们确认了这是一个恶意的 NPM 包，攻击者在 crypto-layout-utils-1.3.1 中实现了扫描受害者电脑文件的逻辑，如果发现钱包或私钥相关的内容或文件就上传到攻击者控制的服务器上(githubshadow.xyz)。

恶意 NPM 包扫描敏感文件和目录：

恶意NPM包窃私钥，Solana用户资产遭盗

恶意 NPM 包上传包含私钥的内容或文件：

恶意NPM包窃私钥，Solana用户资产遭盗

我们继续探索攻击手法，项目作者(https://github.com/zldp2002/) 疑似控制了一批 GitHub 账号， 用于 Fork 恶意项目并进行恶意程序分发，同时刷高项目的 Fork 和 Star 数量，引诱更多用户关注，以便扩大恶意程序的分发范围。

恶意NPM包窃私钥，Solana用户资产遭盗

我们还识别出多个 Fork 项目也存在类似恶意行为，其中部分版本使用了另一款恶意包 bs58-encrypt-utils-1.0.3。

该恶意包自 2025 年 6 月 12 日创建，猜测攻击者这时候就已经开始分发恶意 NPM 和恶意 Node.js 项目，但在 NPM 下架 bs58-encrypt-utils 后，攻击者改用了替换 NPM 包下载链接的方式进行分发。

恶意NPM包窃私钥，Solana用户资产遭盗

此外，我们使用链上反洗钱与追踪工具 MistTrack 分析发现，其中一个攻击者地址盗币后，将资金转移至了交易平台 FixedFloat。

恶意NPM包窃私钥，Solana用户资产遭盗

总结

本次攻击事件中，攻击者通过伪装为合法开源项目(solana-pumpfun-bot)，诱导用户下载并运行恶意代码。在刷高项目热度的掩护下，用户在毫无防备的情况下运行了携带恶意依赖的 Node.js 项目，导致钱包私钥泄露、资产被盗。

整个攻击链条涉及多个 GitHub 账号协同操作，扩大了传播范围，提升了可信度，极具欺骗性。同时，这类攻击通过社会工程与技术手段双管齐下，在组织内部也很难完全防御。

我们建议开发者与用户高度警惕来路不明的 GitHub 项目，尤其是在涉及钱包或私钥操作时。如果确实需要运行调试，建议在独立且没有敏感数据的机器环境运行和调试。

 

恶意依赖包相关信息

恶意 Node.js 项目的 GitHub 仓库：

2723799947qq2022/solana-pumpfun-bot

2kwkkk/solana-pumpfun-bot

790659193qqch/solana-pumpfun-bot

7arlystar/solana-pumpfun-bot

918715c83/solana-pumpfun-bot

AmirhBeigi7zch6f/solana-pumpfun-bot

asmaamohamed0264/solana-pumpfun-bot

bog-us/solana-pumpfun-bot

edparker89/solana-pumpfun-bot

ii4272/solana-pumpfun-bot

ijtye/solana-pumpfun-bot

iwanjunaids/solana-pumpfun-bot

janmalece/solana-pumpfun-bot

kay2x4/solana-pumpfun-bot

lan666as2dfur/solana-pumpfun-bot

loveccat/solana-pumpfun-bot

lukgria/solana-pumpfun-bot

mdemetrial26rvk9w/solana-pumpfun-bot

oumengwas/solana-pumpfun-bot

pangxingwaxg/solana-pumpfun-bot

Rain-Rave5/solana-pumpfun-bot

wc64561673347375/solana-pumpfun-bot

wj6942/solana-pumpfun-bot

xnaotutu77765/solana-pumpfun-bot

yvagSirKt/solana-pumpfun-bot

VictorVelea/solana-copy-bot

Morning-Star213/Solana-pumpfun-bot

warp-zara/solana-trading-bot

harshith-eth/quant-bot

恶意 NPM 包：

crypto-layout-utils

bs58-encrypt-utils

恶意 NPM 包下载链接：

https://github.com/sjaduwhv/testing-dev-log/releases/download/1.3.1/crypto-layout-utils-1.3.1.tgz

恶意 NPM 包上传数据的服务器：

githubshadow.xyz

Трендовые криптовалюты

ctr
CitreaCTR
wstusdt
wrapped stUSDTWSTUSDT
apr
CapricornAPR
ctx
Cryptex FinanceCTX
audio
AudiusAUDIO
comp
CompoundCOMP
mantra
MantraMANTRA
waxl
AxelarWAXL
bill
Billions NetworkBILL
pyth
PYTH (Pyth)PYTH
rune
THORChainRUNE
brev
BrevisBREV
zrx
ZRX（0X）ZRX
cake
PancakeSwapCAKE
dos
DAPPOSDOS

Похожее

Хакеры слили "GTA6" и выпустили монету: слитые видео стали рекламной площадкой для $CYBERLEEK, чтобы посмотреть следующий фрагмент, нужно сначала купить монеты и проголосовать

Хакерская группа CyberLeek слила в сеть фрагменты разработки игры GTA 6, связав утечку с мем-токеном $CYBERLEEK на Solana. Каждый слитый видеоролик содержал водяной знак с призывом купить этот токен. Токен был создан за несколько часов до первой утечки, а один кошелек оплатил все запускные расходы: домен, создание токена и ликвидность. Хакеры внедрили систему голосования: чтобы решить, какой геймплей будет показан следующим, пользователи должны отправлять токены $CYBERLEEK на указанный адрес, что равносильно покупке и "сжиганию" монет в пользу организаторов. За первый день торгов объем составил 15 миллионов долларов, принеся около 30 тысяч долларов комиссий при затратах менее 3500 долларов. Позже команда уничтожила 27% запасов токенов (на сумму около 1 млн долларов), чтобы продемонстрировать "надежность" и избежать обвинений в скаме. Однако механизм комиссий с каждой транзакции продолжал приносить пассивный доход. Разработчик игры Take-Two Interactive начал судебное преследование, но финансовая схема уже сработала. Этот случай демонстрирует новую модель монетизации: использование утечки глобального IP для раскрутки мем-токена, где ажиотаж напрямую конвертируется в торговый объем и прибыль.

marsbit14 мин. назад

Хакеры слили "GTA6" и выпустили монету: слитые видео стали рекламной площадкой для $CYBERLEEK, чтобы посмотреть следующий фрагмент, нужно сначала купить монеты и проголосовать

marsbit14 мин. назад

Биткоин и альткоины растут, но аналитик предупреждает: эти уровни могут спровоцировать серьезные колебания

В условиях роста биткоина и альткоинов аналитик Жоао Ведсон указывает на ключевые уровни, способные вызвать значительные колебания рынка. Анализ открытых позиций за последние 30 дней выявил две важные зоны: 61 000 и 57 000 долларов за биткоин. Значительный объем позиций с кредитным плечом был открыт, когда цена находилась в диапазонах 65 000–68 000 и 63 000–66 000 долларов соответственно. Падение цены к этим уровням может спровоцировать масштабные ликвидации. Дополнительное давление могут оказать стоп-лосс ордера инвесторов, размещенные около этих же отметок, что усилит продажи в случае резкого снижения. При этом существуют и зоны ликвидации на росте, в частности в диапазоне 85 000–86 000 долларов, однако большинство позиций там открыто более месяца назад.

cryptonews.ru1 ч. назад

Биткоин и альткоины растут, но аналитик предупреждает: эти уровни могут спровоцировать серьезные колебания

cryptonews.ru1 ч. назад

Дочь Хуана Жэньсюня: от шеф-повара до годового дохода в 8 миллионов

Дочь основателя NVIDIA Хуана Жэньсюня, Мэдисон Хуан, посетила Всемирный конгресс роботов 2026 в Пекине, где ознакомилась с разработками ведущих китайских компаний, таких как You必选 и Yushu Technology. В настоящее время она занимает должность старшего директора по продуктам и маркетингу платформы физического искусственного интеллекта NVIDIA с годовым окладом около 1,2 миллиона долларов. Интересно, что её карьера началась не в технологической сфере. Изучала кулинарию, работала шеф-поваром, а также в группе LVMH, прежде чем в 2020 году присоединиться к NVIDIA в качестве стажёра. Её брат Спенсер также прошёл похожий путь, от владения баром до работы в NVIDIA над программным обеспечением для роботов. Визит Хуан пришёлся на ключевой момент для китайской робототехники. Компания Yushu Technology провела IPO, а множество других стартапов готовятся к выходу на биржу. Китай демонстрирует быстрый прогресс в создании человекоподобных роботов, обладая мощной производственной базой и обширными испытательными полигонами в различных отраслях промышленности. Сейчас отрасль переходит от разработки «тела» робота к созданию его «мозга» — искусственного интеллекта, способного понимать и выполнять сложные команды в реальном мире.

marsbit2 ч. назад

Дочь Хуана Жэньсюня: от шеф-повара до годового дохода в 8 миллионов

marsbit2 ч. назад

Размышления о взломе Coldcard: исходный код виден ≠ безопасность

**Холодный взгляд на безопасность: открытый исходный код — не панацея** Недавняя кража более чем на 1 миллиард долларов в биткойнах с аппаратных кошельков Coldcard вскрыла болезненную реальность: видимый исходный код не равнозначен безопасности. Хотя биткойн-сообщество десятилетиями выступает за открытость финансовой инфраструктуры, инцидент показал, что сама по себе публичность кода не гарантирует его глубокого аудита. Ключевое различие лежит между настоящим свободным ПО с открытым исходным кодом (FOSS), которое предоставляет четыре основные свободы (использовать, изучать, распространять, изменять), и просто «видимым исходным кодом» (source-available), как в случае с Coldcard. Прошивка Coldcard, хоть и опубликована под лицензией MIT, содержит ограничения на коммерческое использование, что, по мнению критиков, сужает круг заинтересованных и компетентных лиц, готовых её тщательно проверять. Без должных экономических стимулов и внимания сообщества в коде могут годами оставаться критические уязвимости, как и произошло. Идеальный пример истинной открытости — Bitcoin Core, эталонная реализация биткойна. Его разработка полностью прозрачна: обсуждения, код-ревью и слияние изменений происходят публично, а доверие к разработчикам завоевывается исключительно демонстрацией компетенции. Экономика открытого кода сталкивается с «трагедией общин»: каждый пользователь надеется, что код проверит кто-то другой. В условиях биткойна, где ошибки конвертируются в реальные деньги, это создаёт огромные риски. Выбор лицензии формирует стимулы: свободные лицензии максимизируют пул возможных аудиторов, в то время как ограничительные — могут оставить проект без глубокой внешней проверки. Новый фактор — искусственный интеллект. Проекты, подобные Bitcoin Red Team, демонстрируют, что ИИ может с беспрецедентной скоростью сканировать код на уязвимости. Однако ИИ также создаёт лавину автоматически сгенерированного кода, что затрудняет его ревью для человека. В то же время возможности ИИ по анализу кода стирают классическое преимущество закрытого ПО — «безопасность через неизвестность». Вывод: в мире цифровых активов под давлением выживут только те проекты, которые смогут обеспечить постоянный и качественный аудит своего кода, независимо от модели его распространения. Открытый код создаёт возможность для проверки, но не заменяет саму проверку.

marsbit3 ч. назад

Размышления о взломе Coldcard: исходный код виден ≠ безопасность

marsbit3 ч. назад

Спотовые ETF на биткоин и Ethereum привлекли $2,6 млрд за неделю: рекорд с октября 2025 года

Американские спотовые ETF на биткоин и Ethereum показали рекордный недельный приток капитала в размере $2,6 млрд — лучший результат с октября 2025 года. Из них $1,9 млрд пришлось на биткоин-фонды (максимум с октября 2025-го), а $697,2 млн — на ETF Ethereum (лучшая неделя с октября 2025-го). Это резкий разворот после оттока $392 млн неделей ранее. Объем трейдинга биткоин-ETF вырос более чем втрое (до $22,1 млрд), а активы под управлением достигли $96,1 млрд. Основной приток пришелся на ралли 19-20 августа, причем фонд IBIT от BlackRock обеспечил $503 млн за один день. Аналогично, объем трейдинга ETF на Ethereum вырос на 259,4%, а активы под управлением увеличились до $14,3 млрд. Несмотря на сильную неделю, совокупный отток с начала 2026 года остается значительным: около $2,9 млрд для биткоин-ETF и $191,8 млн для Ethereum-фондов. Приток сократил общий дефицит двух категорий с $5,7 млрд до $3,1 млрд. Стоит отметить высокую концентрацию капитала в одном фонде (IBIT), что исторически создавало волатильность: в ноябре 2025 года рекордный отток из этого фонда привел к масштабным потерям за следующие недели. Это указывает на структурную уязвимость рынка к резким разворотам тренда.

cryptonews.ru3 ч. назад

Спотовые ETF на биткоин и Ethereum привлекли $2,6 млрд за неделю: рекорд с октября 2025 года

cryptonews.ru3 ч. назад

Торговля

Спот

Популярные статьи

Обсуждения

Добро пожаловать в Сообщество HTX. Здесь вы сможете быть в курсе последних новостей о развитии платформы и получить доступ к профессиональной аналитической информации о рынке. Мнения пользователей о цене на SOL (SOL) представлены ниже.

活动图片

Топ вопросы

Популярные категорииright-arrow

Популярные тегиright-arrow