網路安全公司SlowMist最近透露，他們接到了一位用戶的聯繫，該用戶受到了一項惡意開源項目的影響，該項目在GitHub上似乎是一個用於交易Solana代幣的Pump.fun機器人。
用戶下載並運行了一個看似無害的GitHub項目。不久之後，他們的錢包被清空了。
這個虛假的項目是一個Node.js應用程序，依賴於一個從自定義GitHub連結下載的包。該包能夠繞過NPM註冊表的安全檢查。這是攻擊者的典型行爲，他們傾向於在外部托管的包中隱藏惡意代碼，以避免被檢測到。
該軟件包最終掃描了受害者的錢包以獲取加密錢包信息。然後，它將私鑰發送到由惡意行爲者控制的服務器。
黑客通過使用虛假的 GitHub 帳戶來僞造受歡迎程度，使其看起來值得信賴。
SlowMist 已強調用戶永遠不應盲目相信 GitHub 項目
