Usuarios de Solana sufren robo de llaves privadas, paquete NPM malicioso como culpable

A principios de julio de 2025, un incidente de robo de activos dirigido a usuarios de Solana llamó la atención de los expertos en seguridad. El incidente se originó cuando la víctima utilizó un proyecto de código abierto llamado solana-pumpfun-bot alojado en GitHub, después de lo cual se robaron los activos criptográficos.

Después de que el equipo de seguridad llevara a cabo una investigación, se descubrió que, aunque el proyecto tenía un alto número de Star y Fork, los tiempos de envío de código estaban anormalmente concentrados, careciendo de características de actualización continua. Un análisis más detallado reveló que el proyecto dependía de un paquete de terceros sospechoso llamado crypto-layout-utils, el cual ha sido retirado por NPM.

Los investigadores encontraron en el archivo package-lock.json que los atacantes reemplazaron el enlace de descarga de crypto-layout-utils por una versión de un repositorio de GitHub. Esta versión está altamente ofuscada y, de hecho, es un paquete NPM malicioso que puede escanear archivos sensibles en la computadora del usuario y subir el contenido que contiene la Llave privada a un servidor controlado por el atacante.

Los atacantes también pueden haber controlado múltiples cuentas de GitHub para bifurcar proyectos maliciosos y aumentar su credibilidad. Además de crypto-layout-utils, se descubrió otro paquete malicioso llamado bs58-encrypt-utils que participó en el ataque.

A través de herramientas de análisis en la cadena, el equipo de seguridad rastreó que parte de los fondos robados se dirigieron a una plataforma de intercambio.

Este incidente destaca los riesgos de seguridad ocultos en los proyectos de código abierto. Los atacantes, al disfrazar proyectos legítimos y combinar ingeniería social con técnicas técnicas, lograron inducir a los usuarios a ejecutar código con dependencias maliciosas, lo que resultó en la filtración de llaves privadas y pérdidas de activos.

Los expertos en seguridad aconsejan a los desarrolladores y usuarios que mantengan una alta vigilancia sobre proyectos de GitHub de origen desconocido, especialmente aquellos que implican operaciones con billeteras o Llave privada. Si es necesario depurar, es mejor hacerlo en un entorno aislado y sin datos sensibles.

Este evento involucra múltiples repositorios maliciosos de GitHub y paquetes de NPM, el equipo de seguridad ha recopilado información relevante para referencia. A medida que las técnicas de ataque continúan evolucionando, los usuarios deben ser especialmente cautelosos al utilizar proyectos de código abierto para prevenir amenazas de seguridad potenciales.