تحليل حادثة هجوم حزمة NPM الخبيثة على نظام Solana البيئي

في أوائل يوليو 2025، حدثت حادثة أمنية في نظام Solana البيئي بسبب حزمة NPM خبيثة، مما أدى إلى سرقة أصول العديد من المستخدمين. ستقوم هذه المقالة بتحليل تفاصيل هذه الحادثة.

سبب الحدث

بدأت الحادثة من مشروع مفتوح المصدر موجود على GitHub يسمى "solana-pumpfun-bot". يبدو أن هذا المشروع هو روبوت تداول في نظام Solana البيئي، ولكنه يحتوي في الواقع على تعليمات برمجية خبيثة. بعد استخدام أحد المستخدمين لهذا المشروع، اكتشف أن أصوله المشفرة قد تم تحويلها بطريقة غامضة، وطلب المساعدة من فريق الأمن على الفور.

التحليل الفني

أجرى الباحثون في مجال الأمن تحقيقًا معمقًا في المشروع واكتشفوا المشكلات الرئيسية التالية:

1. استثنائية المشروع: تحتوي مستودع GitHub هذا على عدد كبير من النجوم والتفرعات، ولكن سجلات التزام الشيفرة تتركز في فترة زمنية قصيرة، مما يفتقر إلى خصائص التحديث المستمر.

2. الاعتماد الضار: المشروع يستشهد بحزمة طرف ثالث مشبوهة تُدعى "crypto-layout-utils". هذه الحزمة قد أُزيلت من قبل NPM، ولا توجد أي نسخة منها في سجلات NPM التاريخية.

3. تم استبدال رابط تحميل الحزمة: في ملف package-lock.json، تم استبدال رابط تحميل "crypto-layout-utils" برابط إصدار GitHub.

4. تشويش الكود: الحزمة المشبوهة التي تم تنزيلها استخدمت jsjiami.com.v7 لتشويش عالي، مما زاد من صعوبة التحليل.

5. السلوكيات الضارة: بعد فك تشفير الشيفرة، اكتشف الباحثون أن هذا الحزمة تقوم بمسح الملفات الحساسة على جهاز الكمبيوتر الخاص بالمستخدم، وإذا وجدت محتويات تتعلق بالمحفظة أو المفتاح الخاص، فإنها تقوم بتحميلها إلى الخادم الذي يتحكم فيه المهاجم.

6. توسيع نطاق الهجوم: يُشتبه في أن المهاجم قد سيطر على عدة حسابات GitHub، لاستخدامها في Fork مشاريع خبيثة وزيادة عدد النجوم لجذب المزيد من المستخدمين.

7. نسخ ضارة متعددة: أظهرت الأبحاث أن هناك حزمة ضارة أخرى تُدعى "bs58-encrypt-utils"، ويُعتقد أن أنشطة الهجوم قد بدأت منذ منتصف يونيو 2025.

8. تدفق الأموال: من خلال أدوات تحليل السلسلة، تم تتبع جزء من الأموال المسروقة التي تم تحويلها إلى منصة تداول معينة.

ملخص أساليب الهجوم

المهاجمون يتنكرون في شكل مشاريع مفتوحة المصدر شرعية، لإغراء المستخدمين بتحميل وتشغيل مشاريع Node.js التي تحتوي على تبعيات ضارة. كما يستخدم المهاجمون عدة حسابات على GitHub للعمل معاً، مما يزيد من مصداقية المشروع ونطاق انتشاره. هذه الطريقة في الهجوم التي تجمع بين الهندسة الاجتماعية والوسائل التقنية، تتمتع بخداع شديد ويصعب الوقاية منها.

نصائح الأمان

1. التعامل بحذر مع مشاريع GitHub غير المعروفة المصدر، خاصة تلك المتعلقة بمحافظ أو عمليات المفاتيح الخاصة.

2. عند تشغيل وتصحيح المشاريع غير المعروفة، يُنصح باستخدام بيئة مستقلة وخالية من البيانات الحساسة.

3. قم بفحص تبعيات المشروع بانتظام، وكن على دراية بالإعلانات الأمنية على منصات إدارة الحزم مثل NPM.

4. استخدم أدوات وخدمات أمان موثوقة لاكتشاف التهديدات المحتملة في الوقت المناسب.

5. تعزيز الوعي الأمني لفريق التطوير وزيادة اليقظة.

تُذكّرنا هذه الحادثة مرة أخرى بأن الأمان دائمًا هو الأولوية القصوى في بيئة Web3. يجب على المطورين والمستخدمين الحفاظ على مستوى عالٍ من اليقظة معًا للحفاظ على أمان النظام البيئي.