Solana生态再现恶意机器人：配置文件隐藏私钥泄露风险

近期，有用户因使用名为audiofilter/pumpfun-pumpswap-sniper-copy-trading-bot的开源项目，导致加密资产被盗。安全团队对此攻击手法进行了深入分析。

分析过程

静态分析

在/src/common/config.rs配置文件中发现可疑代码，主要集中在create_coingecko_proxy()方法内。该方法首先调用import_wallet()获取私钥，然后对私钥长度进行判断。如果私钥长度大于85，则将其转换为Keypair对象并用Arc封装。

随后，恶意代码对一个硬编码常量HELIUS_PROXY进行解码，得到攻击者服务器地址

create_coingecko_proxy()方法在应用启动时被调用，位于main.rs中main()方法的配置文件初始化阶段。该方法还包含获取价格等正常功能，用以掩盖其恶意行为。

该项目在GitHub上近期(2025年7月17日)进行了更新，主要更改集中在src/common/config.rs文件中，HELIUS_PROXY的原地址编码被替换为新的编码。

动态分析

为直观观察盗窃过程，研究人员编写Python脚本生成测试用的Solana公私钥对，并搭建接收POST请求的HTTP服务器。将测试服务器地址编码替换原攻击者设置的恶意服务器地址编码，并将测试私钥填入.env文件。

启动恶意代码后，测试服务器成功接收到包含私钥信息的JSON数据。

入侵指标(IoCs)

• IP: 103.35.189.28
• 域名: storebackend-qpq3.onrender.com
• 恶意仓库:

此外还发现多个使用类似手法的GitHub仓库。

总结

攻击者通过伪装成合法开源项目，诱导用户执行恶意代码。该代码会读取本地.env文件中的敏感信息，并将盗取的私钥传输至攻击者控制的服务器。

建议开发者与用户对来源不明的GitHub项目保持警惕，尤其涉及钱包或私钥操作时。如需调试，应在独立且无敏感数据的环境中进行，避免执行来源不明的程序和命令。