SolidityプロジェクトのVS Codeに仕込まれたバックドアが暗号資産データを標的に
SlowMistは、Solidityの面接対策プロジェクトとして紹介されていたGitHubリポジトリ「Hylance/sol-live」で、データを窃取するバックドアを発見しました。悪意のあるコードはVS Codeのワークスペース設定に隠されており、ユーザーがこのプロジェクト専用のターミナル設定を選択すると実行される可能性があります。macOSとLinuxでは、外部のスクリプトをダウンロードして実行します。引用符の扱いに誤りがある可能性があるため、Windowsで実行されるかどうかは確認されていません。
アーカイブされたコードと保存されていたペイロードを分析した結果、ブラウザーのログインデータベースやウォレット拡張機能のデータの収集、macOSのKeychainファイルのコピー、ローカルファイルの検索とアップロード、クリップボードの内容の監視、リモート制御チャネルを介したコマンド実行が可能であることが判明しました。ブラウザーのパスワードを復号する関数は空の値を返します。調査担当者は、パスワード、シードフレーズ、秘密鍵が復号または窃取されたことを確認していません。また、サンプルを実行しておらず、被害者の端末での感染やデータ流出も確認していません。
SlowMistは、このプロジェクトの悪意あるターミナル設定を起動したユーザーに対し、端末を調査するよう呼びかけています。侵害の可能性を否定できない場合は、信頼できる端末を使ってウォレット資産を移し、認証情報を変更してください。この事案は、暗号資産開発者にとってのソフトウェアサプライチェーンリスクを浮き彫りにしています。リポジトリを開いただけでバックドアが起動することは確認されていません。
Neutral
この報告書は、個人の開発者や暗号資産ユーザーにとって深刻なセキュリティリスクを示していますが、市場全体に及ぶ侵害、確認済みの被害者数、または検証された資金損失を立証するものではありません。分析はアーカイブされたコードと保存されていたペイロードに基づいており、研究者はマルウェアを実行しておらず、ウォレットの秘密情報が復号または窃取されたことも確認していません。ブラウザーのパスワード復号ルーチンは空の値を返すと報告されており、攻撃者が実際に何を入手したかについての主張はさらに限定されます。
短期的には、影響を受けた開発者はエンドポイントやネットワークのログを確認し、認証情報を変更し、信頼できるデバイスを使ってウォレットを移行し、リスクのあるコントラクト承認を取り消すことができます。こうした対象を絞った予防措置は、名指しされたリポジトリや関連プロジェクトの利用者に限定的な懸念をもたらす可能性がありますが、記事には暗号資産取引、取引所の運営、ブロックチェーンネットワークに広範な混乱が生じたという証拠はありません。開発者ツールやサプライチェーンを狙う類似マルウェアの公表は、通常、セキュリティ確認や警戒の強化につながるものであり、大規模な資産窃取が確認された場合を除けば、主要な暗号資産価格に持続的な変化をもたらすものではありません。
長期的には、この事件をきっかけに、VS Codeのワークスペース設定やその他の開発環境設定の審査が厳格化し、リポジトリのマルウェアスキャンも改善される可能性があります。トレーダーは、これを市場の材料と見なす前に、感染の確認、資産の窃取、またはより広範な攻撃キャンペーンの有無を注視すべきです。入手可能な情報に基づけば、想定される影響は限定的なセキュリティ上の懸念であり、暗号資産価格の方向性を示すものではありません。