Krypto-Betrugswarnung! Neuer Fake-GitHub-Trading-Bot leert Solana-Wallets
Vorsicht! Ein neuer Krypto-Betrug macht die Runde – diesmal versteckt er sich offen auf GitHub.
Das Cybersecurity-Unternehmen SlowMist hat eine Warnung herausgegeben, nachdem ein Nutzer durch den Download eines scheinbar legitimen Solana-Trading-Bots seine Krypto-Assets verloren hat. Das Projekt namens „solana-pumpfun-bot“ gab vor, Nutzern beim Handel mit Token auf Pump.fun, einer beliebten Plattform im Solana-Ökosystem, zu helfen. Stattdessen wurde die Wallet des Nutzers geleert.
Hier ist alles, was Sie wissen müssen, um sicher zu bleiben.
Harmloser Bot mit bösartiger Absicht
Der Nutzer lud den Open-Source-Bot von GitHub herunter, führte ihn aus – und kurz darauf war seine Wallet leer. Auf den ersten Blick sah das Projekt normal aus: Es hatte Sterne, Forks und sogar kürzliche Commits.
Doch das Projekt war eine Node.js-App, die eine versteckte Abhängigkeit enthielt – ein Paket, das über eine benutzerdefinierte GitHub-URL und nicht über das offizielle NPM-Registry verlinkt war. Dadurch konnte das schädliche Paket die Sicherheitsprüfungen von NPM umgehen und blieb schwerer erkennbar.
Nach der Installation durchsuchte der Code das System des Opfers nach Wallet-Daten und sendete die privaten Schlüssel an einen Remote-Server des Angreifers.
GitHub-Popularität wurde gefälscht, um Vertrauen zu erwecken
Um den Anschein von Seriosität zu erwecken, nutzte der Angreifer gefälschte GitHub-Accounts, um das Projekt mit Sternen und Forks auszustatten. Laut SlowMist wurde das gesamte Codebase jedoch erst vor drei Wochen hochgeladen – ein klares Warnsignal.
In einem Tweet erklärte SlowMist:
„Der Täter tarnte ein Schadprogramm als legitimes Open-Source-Projekt… Nutzer führten unwissentlich ein Node.js-Projekt mit eingebetteten schädlichen Abhängigkeiten aus, wodurch ihre privaten Schlüssel offengelegt und ihre Assets gestohlen wurden.“
Am 2. Juli meldete sich ein Opfer bei SlowMist, nachdem es Krypto-Assets verloren hatte. Die Ursache? Die Ausführung eines scheinbar harmlosen GitHub-Projekts — zldp2002/solana-pumpfun-bot.
Was SICHER schien, entpuppte sich als clever getarnte Falle.
Unsere Analyse ergab:
1⃣ Der Täter… pic.twitter.com/UkbVLf7owk
Wichtige Warnung für Entwickler und Trader
SlowMist rät Nutzern, GitHub-Projekten niemals blind zu vertrauen – insbesondere solchen, die Zugriff auf Wallets oder private Schlüssel erfordern. Falls solche Tools getestet werden müssen, sollte dies in einer abgeschotteten Sandbox-Umgebung ohne echte Assets erfolgen.
„Wenn Sie sie testen müssen, tun Sie dies in einer isolierten Sandbox ohne sensible Daten“, warnte das Team.
Warum das wichtig ist
Da immer mehr Trader und Entwickler auf Open-Source-Tools im Krypto-Bereich setzen, werden solche Angriffe schwerer zu erkennen.
Die Lehre ist einfach: Behandeln Sie jedes GitHub-Projekt, das mit Ihrer Wallet interagiert, als Hochrisiko!
Übersetzt von D0geL0rd
