Người dùng Solana gặp sự cố bị đánh cắp khóa riêng, gói NPM độc hại trở thành thủ phạm

Vào đầu tháng 7 năm 2025, một sự kiện trộm cắp tài sản nhằm vào người dùng Solana đã thu hút sự chú ý của các chuyên gia bảo mật. Sự kiện bắt nguồn từ việc nạn nhân đã sử dụng một dự án mã nguồn mở tên là solana-pumpfun-bot được lưu trữ trên GitHub, sau đó tài sản tiền điện tử đã bị đánh cắp.

Sau khi đội ngũ an ninh tiến hành điều tra, họ phát hiện ra rằng dự án này mặc dù có số lượng Star và Fork cao, nhưng thời gian nộp mã bất thường tập trung, thiếu các đặc điểm cập nhật liên tục. Phân tích sâu hơn tiết lộ rằng dự án phụ thuộc vào một gói bên thứ ba khả nghi là crypto-layout-utils, gói này đã bị NPM chính thức gỡ bỏ.

Các nhà điều tra đã phát hiện ra rằng, trong tệp package-lock.json, kẻ tấn công đã thay thế liên kết tải xuống của crypto-layout-utils bằng một phiên bản từ kho GitHub. Phiên bản này đã được làm rối một cách cao độ, thực chất là một gói NPM độc hại, có khả năng quét các tệp nhạy cảm trên máy tính của người dùng và tải nội dung chứa khóa riêng lên máy chủ do kẻ tấn công kiểm soát.

Kẻ tấn công cũng có thể đã kiểm soát nhiều tài khoản GitHub để Fork các dự án độc hại và nâng cao độ tin cậy của chúng. Ngoài crypto-layout-utils, còn phát hiện ra một gói độc hại khác có tên bs58-encrypt-utils tham gia vào cuộc tấn công.

Thông qua công cụ phân tích trên chuỗi, đội ngũ an ninh đã theo dõi được một phần số tiền bị đánh cắp đã chảy đến một sàn giao dịch nào đó.

Sự kiện này làm nổi bật những rủi ro an ninh tiềm ẩn trong các dự án mã nguồn mở. Kẻ tấn công đã ngụy trang thành các dự án hợp pháp, kết hợp kỹ thuật xã hội và kỹ thuật công nghệ, thành công trong việc lừa đảo người dùng chạy mã có chứa các phụ thuộc độc hại, dẫn đến việc rò rỉ khóa riêng và mất mát tài sản.

Các chuyên gia an ninh khuyên các nhà phát triển và người dùng nên hết sức cảnh giác với các dự án GitHub có nguồn gốc không rõ ràng, đặc biệt là khi có liên quan đến ví hoặc khóa riêng. Nếu cần gỡ lỗi, tốt nhất là thực hiện trong một môi trường độc lập và không có dữ liệu nhạy cảm.

Sự kiện này liên quan đến nhiều kho GitHub và gói NPM độc hại, đội ngũ an ninh đã tổng hợp thông tin liên quan để tham khảo. Với sự tiến hóa không ngừng của các phương pháp tấn công, người dùng cần phải đặc biệt cẩn trọng khi sử dụng các dự án mã nguồn mở để phòng tránh các mối đe dọa an ninh tiềm ẩn.