Новый вирус крадет криптовалюту: как защитить свои кошельки от вредоносного ПО из GitHub?

Внимание: Обнаружен новый вирус, который опустошает криптовалютные кошельки – вот виновное программное обеспечение и что с этим делать.

Компания в области кибербезопасности SlowMist сообщила, что проект с открытым исходным кодом под названием “solana-pumpfun-bot”, опубликованный на GitHub и привлекший внимание в сообществе, содержал схему мошенничества, нацеленную на кошельки пользователей. По данным компании, криптовалюты в кошельках пользователей, использующих этот проект, были украдены, и часть средств была переведена на платформу под названием FixedFloat.

Инцидент был выявлен, когда пострадавший пользователь обратился к команде SlowMist 2 июля 2025 года. Согласно заявлению пользователя, криптовалюты в его кошельке были украдены после того, как он начал использовать проект “zldp2002/solana-pumpfun-bot” на GitHub накануне.

Послесловие анализа SlowMist показало, что проект основан на Node.js и зависит от подозрительного стороннего пакета под названием “crypto-layout-utils”. Этот пакет не числится в официальных записях NPM и был удален с платформы. Расследование выявило, что злоумышленники манипулировали ссылкой в файле package-lock.json, чтобы направить пользователей на установку вредоносного программного обеспечения.

Эксперты SlowMist объяснили, что загруженный пакет “crypto-layout-utils-1.3.1” содержал сложный и запутанный код, который после анализа сканировал файлы, содержащие кошельки и приватные ключи на компьютере пользователя, и отправлял эти данные на сервер злоумышленника с именем “githubshadow.xyz”.

Кроме того, в ходе анализа было сообщено, что пользователь GitHub (zldp2002), который предположительно является разработчиком данного проекта, контролирует большое количество фальшивых аккаунтов и стремится привлечь больше пользователей, создавая форки проекта через эти аккаунты. В некоторых форках использовался другой вредоносный пакет NPM – “bs58-encrypt-utils-1.0.3”.

После инцидента команда SlowMist отслеживала злоумышленников с помощью инструмента анализа, называемого MistTrack, и обнаружила, что злоумышленники перевели часть украденной криптовалюты на платформу FixedFloat. Считается, что атака вредоносного ПО была активна с 12 июня 2025 года.

SlowMist сообщила, что пользователи должны быть крайне осторожны с программным обеспечением, загружаемым с платформ с открытым исходным кодом, таких как GitHub, особенно в проектах, которые включают приватные ключи или операции с кошельками. В случае необходимости рекомендуется запускать такие проекты на изолированной машине, которая не содержит конфиденциальных данных.

*Это не инвестиционный совет.