Solana生態再現惡意機器人:配置文件隱藏私鑰外傳風險

近期,有用戶因使用名爲audiofilter/pumpfun-pumpswap-sniper-copy-trading-bot的開源項目,導致加密資產被盜。安全研究團隊對此進行了深入分析。

分析過程

靜態分析

通過靜態分析,發現可疑代碼位於/src/common/config.rs配置文件中,主要集中在create_coingecko_proxy()方法內。該方法首先調用import_wallet()獲取私鑰信息,然後對惡意URL地址進行解碼。

解碼後的真實地址爲:

惡意代碼將獲取到的私鑰信息轉換爲Base58字符串,構造JSON請求體,通過POST請求發送至上述URL所指向的服務器。

create_coingecko_proxy()方法在應用啓動時被調用,位於main.rs中main()方法的配置文件初始化階段。

該項目近期在GitHub上進行了更新,主要更改集中在src目錄下的配置文件config.rs中,HELIUS_PROXY(攻擊者服務器地址)的原地址編碼已被替換爲新的編碼。

動態分析

研究團隊編寫了Python腳本生成測試用的Solana公私鑰對,並搭建了一個能接收POST請求的HTTP服務器。將測試服務器地址編碼替換原攻擊者設置的惡意服務器地址編碼,並將.env文件中的PRIVATE_KEY替換爲測試私鑰。

啓動惡意代碼後,測試服務器成功接收到了惡意項目發送的JSON數據,其中包含PRIVATE_KEY(私鑰)信息。

入侵指標(IoCs)

• IP: 103.35.189.28
• 域名: storebackend-qpq3.onrender.com
• 惡意倉庫:

此外還發現多個使用類似手法的GitHub倉庫。

總結

這種攻擊手法通過僞裝成合法開源項目,誘導用戶下載執行惡意代碼。項目會讀取本地.env文件中的敏感信息,將盜取的私鑰傳輸至攻擊者控制的服務器。

建議開發者與用戶對來源不明的GitHub項目保持警惕,特別是涉及錢包或私鑰操作時。如需運行或調試,應在獨立且無敏感數據的環境中進行,避免執行來源不明的程序和命令。