Предупреждение о безопасности: Кража приватных ключей через скомпрометированные зависимости на GitHub

Обнаружена серьезная угроза безопасности, которая затрагивает разработчиков на платформе GitHub. Проект polymarket-copy-trading-bot был скомпрометирован с помощью вредоносного кода, автоматически похищающего приватные ключи кошельков пользователей при инициализации приложения. Этот инцидент представляет значительную угрозу для всех, кто установил или использовал этот репозиторий.

Как происходит кража ключей

Механизм атаки сложен, но эффективен. При запуске программы вредоносный код автоматически извлекает приватный ключ, хранящийся в файле .env пользователя. Эта чувствительная информация затем передается на контролируемые злоумышленниками серверы через, казалось бы, легитимный пакет зависимости: @easynode/ethers-utils.

Атака использует доверие разработчиков к библиотекам npm. Интегрируя этот скомпрометированный пакет, вредоносный код выполняется тихо и незаметно для пользователя, похищая их наиболее ценные криптографические данные.

Обнаружение вредоносного кода

Вредоносный пакет, используемый в этой атаке, идентифицируется как @easynode/ethers-utils. Его основная цель — перехватить приватный ключ до его использования легитимным приложением. После похищения информация передается зашифрованной формой на серверы злоумышленников, что дает им полный доступ к цифровым активам жертвы.

Этот метод внедрения кода в зависимости особенно опасен, поскольку многие разработчики не проверяют исходный код всех импортируемых библиотек, что облегчает распространение угроз безопасности.

Рекомендации по защите ваших активов

Если вы использовали проект polymarket-copy-trading-bot, необходимо немедленно принять меры. Во-первых, остановите все запуски программы и проверьте файлы .env на предмет компрометации ваших ключей. Учтите, что любые кошельки, связанные с этими учетными данными, могут находиться под угрозой.

В качестве дополнительной меры предосторожности перед установкой любого пакета npm проверьте его репутацию, изучите историю обновлений и включенные зависимости. Используйте инструменты анализа безопасности, которые могут обнаружить вредоносный код в зависимостях до их выполнения в вашей среде.

Эта тревога подчеркивает важность соблюдения надежных практик управления секретами и проверки кода в проектах разработки. Сообщество GitHub должно оставаться бдительным в отношении подобных угроз компрометации зависимостей.