2 липня жертва звернулася до команди SlowMist після втрати криптоактивів. З чим це пов'язано? Запустив, здавалося б, законний проєкт на GitHub — zldp2002/solana-pumpfun-bot. 🕳️Те, що виглядало безпечним, виявилося хитро замаскованою пасткою. Наш аналіз виявив: 1️⃣Зловмисник замаскував шкідливу програму під законний проект з відкритим вихідним кодом (solana-pumpfun-bot), заманюючи користувачів завантажити та запустити її. 2️⃣Його штучна популярність (зірки/форки) маскувала загрозу — користувачі несвідомо запускали Node.js проект із вбудованими шкідливими залежностями, розкриваючи свої приватні ключі та втрачаючи активи. Це соціальне + технічне поєднання зробило його дуже оманливим. ⚠️Нагадування: Ніколи не довіряйте сліпо проектам GitHub, особливо коли йдеться про приватні ключі або гаманці. Якщо вам потрібно перевірити їх, робіть це в ізольованому середовищі в ізольованому середовищі без конфіденційних даних. 🔗Повна стаття: #Web3Security #NodeJS #OpenSourceSecurity #GitHub