30件の悪意あるnpmパッケージに結び付いた偽のGitHub裁定取引ボットが、ウォレット鍵、ブラウザのパスワード、開発者認証情報を窃取した。研究者によると、少なくとも53人の開発者が影響を受けた。
SlowMistとSafeDepは、年8万ドル超を生み出せるとうたうPolymarketの裁定取引ボットを宣伝する偽のGitHubリポジトリを軸にしたサプライチェーン攻撃を警告した。研究者によると、30件の悪意あるnpmパッケージが複数のアカウントを通じて拡散され、このリポジトリに結び付いていた。発覚前にはこのリポジトリが36件のスターと53件のフォークを集めていた。マルウェアはclob-client-mathという依存関係に隠されており、利用者が.envファイルにPolymarketの秘密鍵を記載するよう指示されたうえでnpm installを実行すると作動した。 このマルウェアは、仮想通貨ウォレットのデータ、ブラウザのパスワードとCookie、SSH鍵、AWS認証情報、npmおよびPyPIトークン、パスワード管理ツールのデータ、秘密鍵、API (Application Programming Interface)トークンを窃取するよう設計されていた。SafeDepは、このプロジェクトでnpm installを実行したマシンはすべて侵害されたものとして扱うべきだとした。研究者は、この作戦の背後に北朝鮮のハッカーがいるとみており、仮想通貨開発者を標的とする「Contagious Trader」と呼ばれるより広範なキャンペーンとの関連を指摘した。 今回の事案は、予測市場における自動売買の高収益性によって、この種のおとりが一段ともっともらしくなっていることも浮き彫りにした。報告書は、実際のPolymarketボットが突出した収益を上げた例を挙げており、一方でPolymarket利用者は今年、少なくとも11件のアカウントから294万ドルが流出した6月下旬のフィッシング詐欺など、別の攻撃にも直面している。