Вірус, що краде криптовалютні гаманці: що сталося та як захиститися

Увага: Виявлено новий вірус, який висмоктує криптовалютні гаманці – ось розкритий шкідливий софт та що з цим робити.

Кібербезпекова компанія SlowMist повідомила про те, що відкритий проект під назвою“solana-pumpfun-bot”, який був опублікований на GitHub і привернув увагу спільноти, містив схему шахрайства, спрямовану на гаманці користувачів. Згідно з даними компанії, криптовалюти в гаманцях користувачів, які запустили цей проект, були вкрадені, а частина коштів була переведена на платформу під назвоюFixedFloat.

Інцидент став відомий, коли постраждалий користувач зв’язався з командою SlowMist 2 липня 2025 року. Згідно зі словами користувача, криптовалюти з його гаманця були вкрадені після того, як він почав використовувати проект“zldp2002/solana-pumpfun-bot” на GitHub напередодні.

Аналіз після інциденту, проведений SlowMist, виявив, що проект побудований наNode.js і покладається на підозрілий сторонній пакет під назвою“crypto-layout-utils”. Цей пакет не значиться в офіційних записах NPM і був видалений з платформи. Розслідування показало, що зловмисники маніпулювали посиланням у файлі package-lock.json, щоб змусити користувачів встановити шкідливе ПО.

Експерти SlowMist пояснили, що завантажений пакет“crypto-layout-utils-1.3.1” містив складні та обфусцовані коди, які після аналізу сканували файли, що містять гаманці та приватні ключі на комп’ютері користувача, і надсилали ці дані на сервер, що належить нападнику, під назвою“githubshadow.xyz”.

Крім того, в аналізі було зазначено, що користувач GitHub (zldp2002), який, як стверджується, є розробником вказаного проекту, контролює велику кількість фейкових акаунтів і намагається досягти більшої кількості користувачів, форкуючи проект через ці акаунти. У деяких форках використовувався інший шкідливий пакет NPM,“bs58-encrypt-utils-1.0.3”.

Після інциденту SlowMist відстежила нападників, використовуючи інструмент для аналізу блокчейн під назвоюMistTrack, і виявила, що нападники перевели частину вкрадених криптовалют на платформу FixedFloat. Вважається, що атака шкідливого програмного забезпечення була активною з 12 червня 2025 року.

SlowMist зазначила, що користувачі повинні бути надзвичайно обережними щодо програмного забезпечення, завантаженого з відкритих платформ, таких як GitHub, особливо в проектах, які пов`язані з приватними ключами або операціями з гаманцями. У випадках необхідності рекомендується запускати такі проекти на ізольованій машині, на якій немає чутливих даних.

Це не є інвестиційною порадою.