セキュリティ警告：偽のSolidity面接プロジェクトが暗号通貨開発者を標的に
TREE NEWS 報道： ブロックチェーンセキュリティ企業のSlowMistは、Solidityの面接練習プロジェクトを装った悪意のあるGitHubリポジトリ「sol-live」について警告を発しました。このリポジトリは.vscode/settings.jsonに悪意のあるコードを隠しており、プロジェクトをクローンして開いた開発者からウォレット拡張機能やキーチェーンデータを盗み出すことができます。
この攻撃は、クローンしたリポジトリをVisual Studio Codeで開くという一般的な開発者のワークフローを悪用しています。悪意のある設定ファイルはプロジェクトの読み込み時に任意のコマンドを実行でき、攻撃者はブラウザのウォレット拡張機能（例：MetaMask）やmacOSのキーチェーン認証情報などの機密データを窃取することが可能になります。
攻撃の仕組み
SlowMistによると、このリポジトリは一見すると正当なもので、Solidityのコーディング演習を提供しているように見えます。しかし、.vscode/settings.jsonファイルにはコード実行をトリガーする隠された設定が含まれています。この手法は、開発者が教育リソースのように見えるリポジトリを信頼し、設定ファイルを検査せずに開くことが多いため、特に危険です。
- 標的：開発者、特にブロックチェーン関連の就職面接を準備している人々。
- 手法：プロジェクト読み込み時にコマンドを実行する悪意のあるVS Code設定。
- 影響：ウォレット拡張機能、キーチェーンデータ、その他の機密情報の盗難。
業界への影響
この事件は、暗号通貨開発者を標的としたサプライチェーン攻撃の増加傾向を浮き彫りにしています。業界が拡大するにつれ、攻撃者は価値のある認証情報を保持するツールや開発環境にますます焦点を当てています。一見無害な教育プロジェクトを餌として使用することは古典的なソーシャルエンジニアリングの戦術ですが、VS Code設定を介した技術的な実行は、信頼できるツールでさえ武器化され得ることを思い起こさせます。
SlowMistの警告は、開発者インフラへの攻撃が増加する中で発せられました。最近数ヶ月で、複数の著名な侵害が開発環境の侵害から発生しており、ビルダーの間でセキュリティ意識を高める必要性が強調されています。
今後の展望
開発者は、未知のリポジトリをクローンして開く際に注意を払うよう勧告されています。ベストプラクティスには、設定ファイルの確認、分離環境（コンテナや仮想マシンなど）の使用、開発マシンに機密認証情報を保存しないことが含まれます。セキュリティ企業は同様の脅威に対する公開リポジトリの監視を強化する可能性が高く、悪意のある設定を検出する自動ツールがさらに登場するかもしれません。
暗号通貨エコシステムが成熟するにつれ、開発者サプライチェーンのセキュリティが重要な焦点となるでしょう。プロジェクトや個人は外部ソースからのコードに対してゼロトラストアプローチを採用する必要があり、GitHubのようなプラットフォームは疑わしいリポジトリ設定にフラグを立てるためのスキャン機能を強化する必要があるかもしれません。
