ソラナエコシステムが再び攻撃を受ける - 悪意のあるNPMパッケージによるユーザーの秘密鍵窃盗事件分析

2025年7月初、ソラナエコシステムのユーザーを対象とした攻撃事件がセキュリティチームの関心を引きました。あるユーザーがGitHub上のオープンソースプロジェクトを使用した後、自分の暗号資産が盗まれたことに気付きました。詳細な調査の結果、セキュリティ専門家は巧妙に計画された攻撃チェーンを明らかにしました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

攻撃者は合法的なオープンソースプロジェクトに偽装し、"solana-pumpfun-bot"という名を名乗っています。このプロジェクトのGitHubリポジトリは正常に見え、高いStarとForkの数を持っています。しかし、注意深く観察すると、すべてのコードのコミット時間が3週間前に集中しており、継続的な更新の兆候が欠けています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

さらに分析したところ、プロジェクトは「crypto-layout-utils」という疑わしいサードパーティパッケージに依存していることがわかりました。このパッケージはNPM公式から削除されており、指定されたバージョン番号は公式の履歴には存在しません。攻撃者はpackage-lock.jsonファイルを変更し、依存パッケージのダウンロードリンクを自分が管理するGitHubリポジトリのアドレスに置き換えました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

この悪意のあるNPMパッケージは高度に難読化されており、内部でユーザーのコンピュータ上のファイルをスキャンするロジックが実装されています。ウォレットや秘密鍵に関連する内容が見つかると、それを攻撃者が制御するサーバーにアップロードします。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

攻撃者はプロジェクトの信頼性を高めるために一連の措置を講じました。彼らは複数のGitHubアカウントを管理し、悪意のあるプロジェクトをフォークして配布するとともに、プロジェクトのフォークやスターの数を増やして、より多くのユーザーの関心を引きました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれます

"crypto-layout-utils"の他に、"bs58-encrypt-utils"という名前の悪意のあるパッケージも同様の攻撃に使用されました。これは、攻撃者がNPMからパッケージを削除した後、攻撃戦略を変更し、置き換えたダウンロードリンクを使用して悪意のあるコードの配布を続けていることを示しています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

オンチェーン分析ツールを通じて追跡したところ、一部の盗まれた資金がある取引所に移動されていることがわかりました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaユーザー資産が盗まれる

この攻撃事件は、オープンソースコミュニティが直面する潜在的なリスクを明らかにしました。攻撃者は合法的なプロジェクトに偽装し、ソーシャルエンジニアリングと技術手段を組み合わせる方法を利用して、ユーザーに悪意のあるコードを実行させることに成功し、秘密鍵の漏洩と資産の盗難を引き起こしました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

セキュリティ専門家は、開発者やユーザーに対して、出所不明のGitHubプロジェクトに対して十分な警戒を維持するように勧めています。特に、ウォレットや秘密鍵の操作に関わるプロジェクトについては注意が必要です。デバッグが必要な場合は、独立した、機密データを含まない環境で行うことをお勧めします。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

この事件は再び、分散型オープンソースの世界において、ユーザーの安全意識と警戒心が重要であることを思い出させます。同時に、プラットフォーム側とコミュニティに対して、悪意のあるプロジェクトに対する監視と迅速な対応メカニズムを強化し、より安全なブロックチェーンエコシステムを共同で維持することを呼びかけています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる