安全警报：伪装成Solidity面试练习的恶意仓库瞄准开发者
TREE NEWS 报道， 区块链安全公司慢雾（SlowMist）发布警告，一个名为sol-live的GitHub仓库伪装成Solidity面试练习项目，在.vscode/settings.json中隐藏恶意代码，可窃取钱包扩展与钥匙串数据。该仓库诱导开发者克隆并在VS Code中打开，从而触发恶意配置。
攻击利用了开发者常见的工作流程：在VS Code中打开克隆的仓库。恶意的设置文件可在项目加载时执行任意命令，使攻击者能够窃取浏览器钱包扩展（如MetaMask）和macOS钥匙串中的敏感凭证。
攻击原理
据慢雾分析，该仓库初看是合法的Solidity编程练习，但.vscode/settings.json文件中包含隐藏配置，可触发代码执行。这种手法尤其危险，因为开发者通常信任看似教育资源的仓库，在打开前可能不会检查配置文件。
- 目标：开发者，尤其是准备区块链求职面试的人员。
- 方法：恶意的VS Code设置，在项目加载时执行命令。
- 影响：钱包扩展、钥匙串数据及其他敏感信息可能被窃取。
行业影响
此次事件凸显了针对加密开发者的供应链攻击呈上升趋势。随着行业扩张，攻击者越来越多地瞄准持有宝贵凭证的工具和开发环境。利用看似无害的教育项目作为诱饵是经典的社交工程手段，而通过VS Code设置进行技术执行则提醒我们，即使是可信工具也可能被武器化。
慢雾的警告发布之际，针对开发者基础设施的攻击正在增加。近几个月来，多起高调的安全漏洞均源于受感染的开发环境，这强调了开发者提高安全意识的重要性。
前瞻
建议开发者在克隆和打开未知仓库时保持谨慎。最佳实践包括检查配置文件、使用隔离环境（如容器或虚拟机），以及避免在开发机上存储敏感凭证。安全公司可能会加强对公共仓库的监控，以发现类似威胁，并可能推出更多自动化工具来检测恶意配置。
随着加密生态系统的成熟，开发者供应链的安全将成为关键焦点。项目和个人必须对来自外部的代码采取零信任态度，而GitHub等平台可能需要增强扫描能力，以标记可疑的仓库配置。
