ソラナエコシステムがNPM悪意のあるパッケージ攻撃事件に遭遇した分析

2025年7月初、ソラナエコシステムで悪意のあるNPMパッケージによって引き起こされたセキュリティ事件が発生し、複数のユーザーの資産が盗まれました。本稿ではこの事件の経緯を詳細に分析します。

事故の原因

この事件は、GitHubにホスティングされているオープンソースプロジェクト「solana-pumpfun-bot」に由来しています。このプロジェクトは一見ソラナエコシステムの取引ボットのようですが、実際には悪意のあるコードが含まれています。あるユーザーがこのプロジェクトを使用した後、暗号資産が理由もなく移動されていることに気付き、すぐにセキュリティチームに助けを求めました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

テクニカル分析

安全研究者はこのプロジェクトを徹底的に調査し、以下の重要な問題を発見しました：

1. プロジェクトの異常：このGitHubリポジトリのStarとForkの数は非常に多いが、コードのコミット履歴が短期間に集中しており、継続的な更新の特徴が欠けている。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

2. 悪意の依存：プロジェクトは「crypto-layout-utils」という疑わしいサードパーティパッケージを参照しています。このパッケージはNPM公式から削除されており、バージョン番号はNPMの履歴には存在しません。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

3. パッケージのダウンロードリンクが置き換えられました：package-lock.jsonファイル内で、"crypto-layout-utils"のダウンロードリンクがGitHubリリースリンクに置き換えられました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

4. コードの難読化：ダウンロードされた疑わしいパッケージはjsjiami.com.v7を使用して高度に難読化されており、分析の難易度が増しています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれます

5. 悪意のある行為：デコンパイルの結果、研究者はこのパッケージがユーザーのコンピュータ上の機密ファイルをスキャンし、ウォレットや秘密鍵に関連する内容を見つけると、攻撃者が制御するサーバーにアップロードすることを発見しました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

6. 攻撃範囲の拡大：攻撃者は複数のGitHubアカウントを制御している疑いがあり、悪意のあるプロジェクトをフォークしてスターの数を増やし、より多くのユーザーを引き付けることを目的としています。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaユーザー資産が盗まれる

7. 複数の悪意のあるバージョン：研究によると、別の悪意のあるパッケージ「bs58-encrypt-utils」も存在しており、攻撃活動は2025年6月中旬から始まっている可能性があります。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

8. 資金の流れ：オンチェーン分析ツールを通じて追跡したところ、一部の盗まれた資金がある取引プラットフォームに移動されていました。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

攻撃手法まとめ

攻撃者は合法的なオープンソースプロジェクトに偽装することで、ユーザーを誘導して悪意のある依存関係を含むNode.jsプロジェクトをダウンロードして実行させます。攻撃者は複数のGitHubアカウントを利用して協力し、プロジェクトの信頼性と拡散範囲を高めます。この社会工学と技術手段を組み合わせた攻撃手法は、非常に欺瞞的で防ぐのが難しいです。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる

セキュリティの提案

1. 不明な出所のGitHubプロジェクトには注意を払い、特にウォレットや秘密鍵の操作に関わるプロジェクトには注意してください。

2. 未知のプロジェクトを実行およびデバッグする際は、独立した、機密データを含まない環境を使用することをお勧めします。

3. 定期的にプロジェクトの依存関係をチェックし、NPMなどのパッケージ管理プラットフォームのセキュリティ公告に注意を払う。

4. 信頼できるセキュリティツールとサービスを使用して、潜在的な脅威をタイムリーに発見します。

5. 開発チームの安全意識トレーニングを強化し、警戒心を高める。

今回の事件は再び私たちに警告しています。Web3エコシステムにおいて、セキュリティは常に最優先事項です。開発者とユーザーは共にエコシステムの安全を維持するために、高い警戒を保つ必要があります。

! 悪意のあるNPMパッケージが秘密鍵を盗み、Solanaのユーザー資産が盗まれる