2025年，Solana生态遭遇了一起新型供应链攻击事件，此事引起了行业的高度关注。2025年7月1日，有用户使用了托管在GitHub上的开源项目zldp2002/solana-pumpfun-bot，随后其加密资产被盗，该用户于次日向慢雾安全团队求助。此次攻击的主体涉及伪装成合法开源项目的恶意程序及背后操控的相关方。至于攻击规模，虽难以精准量化，但从该恶意项目在GitHub上相对较高的Star和Fork数量来看，其影响范围较广，众多用户可能因被误导而面临资产被盗风险。
开源生态信任危机的典型样本
此事件堪称开源生态信任危机的典型案例。该恶意开源项目乍看之下正常，其GitHub仓库的Star和Fork数量可观，但代码提交时间集中在三周前，缺乏持续更新轨迹，实则暗藏玄机。其通过引用已被NPM官方下架且版本存疑的依赖包crypto-layout-utils等手段，在用户毫无防备时窃取私钥，导致资产被盗，这无疑对开源生态的信任体系造成了严重冲击。
供应链安全与Web3资产防护的关联性
在区块链领域，尤其是Web3环境下，供应链安全与资产防护紧密相连。此次Solana生态攻击事件凸显了这一点，攻击者通过在开源项目的依赖包环节动手脚，如替换NPM包下载链接等方式，成功将恶意代码植入。一旦用户运行相关项目，便可能导致私钥泄露，进而危及Web3资产安全。可见，保障供应链安全是维护Web3资产防护的关键环节，任何一处漏洞都可能引发严重后果。
攻击事件技术背景与攻击路径溯源
1. 恶意项目仓库特征分析（zldp2002/solana-pumpfun-bot）
在2025年7月1日引发用户Solana钱包资产被盗的事件中，涉事的开源项目zldp2002/solana-pumpfun-bot存在诸多可疑特征。访问其GitHub仓库可发现，虽该项目的Star和Fork数量相对较高，但各目录下代码提交时间均集中在三周前，这种情况明显异常，正常项目通常会有持续更新的轨迹，而此项目缺乏这一特征，为后续深入分析其恶意性质埋下伏笔。此恶意项目基于Node.js，
对其依赖包分析时发现引用了crypto-layout-utils这一第三方包。
2. NPM依赖包劫持技术解析（crypto-layout-utils伪装手法）
经核查，该依赖包已被NPM官方下架，且package.json中指定的版本未在NPM官方历史记录中出现，初步判定其为可疑组件。
攻击者通过伪装手段，让受害者获取到这个恶意依赖包，进而为后续的攻击行为创造条件。
3. 第三方下载链接替换机制的技术实现
深入项目后，在package-lock.json文件中找到关键线索，即攻击者将crypto-layout-utils的下载链接替换成了https://github.com/sjaduwhv/testing-dev-log/releases/download/1.3.1/crypto-layout-utils-1.3.1.tgz。
通过这种替换机制，使得受害者在无法通过NPM官方源下载该包时，仍能获取到被篡改的恶意版本，从而在不知不觉中引入了风险。
4. 攻击者GitHub账号矩阵运作模式
并且还识别出多个Fork项目存在类似恶意行为，部分版本使用了其他恶意包，如bs58-encrypt-utils-1.0.3，可见攻击者通过这种账号矩阵运作模式，有组织地实施了一系列恶意活动。
恶意代码行为深度剖析与数据泄露机制
1. jsjiami.com.v7代码混淆技术对抗分析
在此次针对Solana生态的攻击事件中，攻击者所使用的恶意NPM包（如crypto-layout-utils-1.3.1）采用了jsjiami.com.v7进行高度代码混淆。代码混淆旨在增加分析人员对代码逻辑及功能理解的难度，以此隐匿恶意代码的真实意图。这种混淆技术通过对代码结构、变量名、函数名等进行复杂的变换与加密处理，使得原始清晰的代码变得晦涩难懂。
在分析过程中，需耗费大量精力进行解混淆操作，才能进一步探究其内部的恶意逻辑，比如扫描敏感文件及窃取私钥等行为。
2. 敏感文件扫描逻辑实现细节（路径/格式/加密检测）
攻击者在恶意NPM包（如crypto-layout-utils-1.3.1）中精心设置了扫描受害者电脑文件的逻辑。其会针对特定的路径进行搜索，这些路径往往与钱包或私钥相关文件的常规存储位置有关。在格式方面，能够识别多种常见的钱包文件格式以及可能存储私钥信息的文件格式。
对于加密文件，也具备一定的检测能力，试图突破加密防护以获取其中的关键信息。一旦发现符合条件的文件或包含钱包、私钥相关内容的文件，便会将其上传至攻击者控制的服务器（githubshadow.xyz）。
3. 数据外泄通信协议逆向工程（C2服务器交互模式）
通过深入分析发现，恶意代码与攻击者控制的C2（命令与控制）服务器（如githubshadow.xyz）之间存在特定的数据外泄通信协议。对该通信协议进行逆向工程研究，可揭示其交互模式的关键细节。攻击者利用此协议，实现从受害者电脑获取到的敏感数据（如私钥等）向C2服务器的上传传输，进而达到窃取数据并掌控后续资产转移等操作的目的。
这种交互模式经过精心设计，具有一定的隐蔽性，增加了在攻击发生过程中被及时发现和阻断的难度。
4. 私钥窃取到资产转移的完整攻击链路
整个攻击过程呈现出一条完整且环环相扣的链路。首先，攻击者通过伪装成合法的开源项目（如solana-pumpfun-bot）吸引用户下载并运行携带恶意依赖的Node.js项目。在项目运行过程中，恶意NPM包利用上述的敏感文件扫描逻辑，成功窃取用户的私钥信息。随后，通过数据外泄通信协议将私钥传输至C2服务器。获取到私钥后，攻击者便能够在区块链网络上以用户身份进行操作，最终将Solana钱包中的资产转移至诸如交易平台FixedFloat等外部平台，完成资产窃取的全过程。此攻击链路涉及多个环节的协同配合，极具隐蔽性与欺骗性，对Solana生态用户的资产安全构成了严重威胁。
攻击事件影响范围与生态安全冲击评估
1. Solana钱包用户受损规模统计
在此次针对Solana生态的攻击事件中，众多Solana钱包用户遭受了资产损失。自事件曝光后，不断有受害者反馈资产被盗情况，然而确切的受损用户规模难以精准统计。一方面，部分用户可能尚未察觉资产异常变动；另一方面，一些受害者出于隐私等因素考量，未选择公开自身受损信息。但从已反馈情况及相关安全团队介入调查的案例来看，受损用户数量不容小觑，且分布范围广泛，涵盖了不同地区、不同使用场景下的Solana钱包持有者。
2. 攻击资金流向链上追踪（FixedFloat平台关联）
通过运用如MistTrack等链上反洗钱与追踪工具进行分析，发现部分攻击者在盗得Solana钱包内的资产后，将资金转移至了交易平台FixedFloat。
这一资金流向的追踪为后续深入了解攻击者的销赃路径及可能关联的其他非法活动提供了重要线索。同时也表明，此类攻击事件不仅涉及对用户资产的窃取，还与链上交易平台存在着紧密的关联，若交易平台的监管及风控机制存在漏洞，极有可能成为攻击者洗白非法所得的渠道。
3. 开源社区信任度损伤评估
此次攻击事件对开源社区的信任度造成了显著损伤。攻击者伪装成合法的开源项目（如solana-pumpfun-bot），通过刷高项目的Fork和Star数量等手段，诱导大量用户下载并运行携带恶意依赖的项目。这使得众多原本对开源项目抱有信任的用户遭受资产损失，进而引发了整个开源社区内用户对项目安全性的高度担忧。许多用户在后续选择开源项目时，会更加谨慎甚至产生抵触情绪，严重影响了开源社区正常的发展与协作氛围。
4. 智能合约平台供应链攻击趋势研判
从此次事件可看出，智能合约平台面临的供应链攻击呈现出愈发隐蔽且复杂的趋势。攻击者不再局限于简单的恶意代码植入，而是通过劫持NPM依赖包、替换下载链接、利用多账号矩阵运作等一系列手段，从项目源头进行篡改与传播恶意程序。未来，随着区块链技术的进一步发展，智能合约平台在供应链环节的安全防护需不断强化，以应对此类不断演变升级的攻击威胁，否则可能会面临更多类似的安全事件，给整个生态系统带来更为严重的冲击。
防御策略与区块链安全最佳实践
1. 开发者依赖管理规范（NPM包验证流程）
开发者在处理NPM包时，需建立严格规范。首先，对于引入的每一个NPM包，要详细核查其来源及相关信息。比如查看其在NPM官方的历史记录，若像此次事件中出现package.json指定版本未在官方历史记录中的情况，需高度警惕。同时，要关注包的下载链接是否异常，如是否被替换为非官方源的链接。在引入新包前，可通过多种渠道了解其口碑及安全性评价，确保其未被标记为可疑或恶意组件。
2. 代码审计自动化工具应用方案
为保障区块链项目安全，应积极采用代码审计自动化工具。这类工具能高效扫描代码，检测潜在风险。例如可识别出代码中是否存在类似此次恶意NPM包中扫描敏感文件的逻辑，以及是否有与外部可疑服务器交互的代码片段等。通过定期运用此类工具对项目代码进行全面审计，能及时发现并处理可能存在的安全隐患，提升整体安全性。
3. 敏感操作环境隔离实施指南
涉及如钱包操作、私钥处理等敏感操作时，务必实施环境隔离。应准备专门的独立机器环境，确保该环境中不存在其他敏感数据。如在本次事件中，若用户能在这样的独立环境中运行调试可疑项目，即便遭遇恶意代码，也可最大程度降低私钥泄露等风险，避免资产被盗情况的发生。
4. Web3安全态势感知体系建设
构建Web3安全态势感知体系至关重要。通过整合多种安全监测手段，实时收集并分析与区块链项目相关的各类安全数据。比如监测项目在GitHub上的动态，包括Star和Fork数量的异常变化、代码提交时间的集中性等异常情况，如同此次恶意项目所呈现的特征。同时，要关注链上资金流向等数据，以便及时察觉潜在的安全威胁并做出响应。
事件启示与区块链安全防护演进方向
1. 开源生态安全治理机制重构
Solana事件凸显开源生态安全治理的紧迫性。恶意开源项目能轻易植入后门NPM包，表明当前机制存在漏洞。需强化开源项目审核，对代码提交轨迹、依赖包来源等严格核查，确保开源生态的纯净性，防止类似通过伪装合法项目进行攻击的情况重演。
2. 去中心化身份认证体系改进
传统身份认证在此次事件中暴露出易被绕过的弊端。应发展更完善的去中心化身份认证体系，利用区块链不可篡改等特性，让用户身份认证更安全、可靠，避免攻击者通过伪造身份等手段来推广恶意项目，从而保障用户资产安全。
3. 智能合约平台风险预警系统发展
从事件可见，智能合约平台面临风险时缺乏有效预警。要建立更智能、敏锐的风险预警系统，能实时监测异常的代码行为、依赖包变动等，在潜在风险演变为实际攻击前发出警报，以便及时采取措施，降低损失。
4. 安全防护从链上到开发链的范式转变
以往安全防护多聚焦链上环节，此次事件表明开发链同样关键。需将安全防护视角拓展至开发全过程，从项目创建、依赖包选择到代码编写与测试等各个环节，都要融入严格的安全规范与检测机制，实现全链路的安全保障。