首頁(yè) > 區(qū)塊鏈 > 區(qū)塊鏈開(kāi)發(fā)者的MetaMask錢(qián)包在欺騙性的面試中被清空

區(qū)塊鏈開(kāi)發(fā)者的MetaMask錢(qián)包在欺騙性的面試中被清空

時(shí)間：2023-12-30 23:17:35

來(lái)源：hao86下載

區(qū)塊鏈

【#區(qū)塊鏈# #區(qū)塊鏈開(kāi)發(fā)者的MetaMask錢(qián)包在欺騙性的面試中被清空#】

區(qū)塊鏈開(kāi)發(fā)商Murat?eliktepe分享了一個(gè)令人痛心的事件，講述了一次度假經(jīng)歷，導(dǎo)致他的MetaMask錢(qián)包被一個(gè)冒充“招聘人員”的人損失了500美元

值得注意的是，?eliktepe最初是在LinkedIn上以一個(gè)真正的網(wǎng)絡(luò)開(kāi)發(fā)工作機(jī)會(huì)為借口聯(lián)系的。

開(kāi)發(fā)者陷入編碼工作騙局

在所謂的求職面試中，招聘人員指示?eliktepe下載并調(diào)試兩個(gè)npm包中的代碼，即“web3_nextjs”和“web3_nextjs_backend”，這兩個(gè)包都托管在GitHub存儲(chǔ)庫(kù)中。

不幸的是，在遵守指示后不久，開(kāi)發(fā)人員發(fā)現(xiàn)他的MetaMask錢(qián)包已經(jīng)耗盡，從他的賬戶(hù)中欺詐提取了500多美元。

Upwork工作清單要求申請(qǐng)人“在網(wǎng)站上修復(fù)漏洞和響應(yīng)能力[原文如此]”，并聲稱(chēng)為預(yù)計(jì)在不到一個(gè)月內(nèi)完成的任務(wù)提供15至20美元的時(shí)薪。

?eliktepe對(duì)這個(gè)機(jī)會(huì)很感興趣，他在LinkedIn個(gè)人資料圖片上醒目地顯示了“#OpenToWork”標(biāo)簽，決定接受挑戰(zhàn)。他下載了招聘人員在“技術(shù)面試”中提供的GitHub存儲(chǔ)庫(kù)

參與技術(shù)面試通常包括帶回家的練習(xí)或概念驗(yàn)證（PoC）任務(wù)，包括代碼編寫(xiě)或調(diào)試等任務(wù)。這使得該報(bào)價(jià)特別有說(shuō)服力，即使對(duì)于開(kāi)發(fā)人員等具有技術(shù)專(zhuān)長(zhǎng)的個(gè)人來(lái)說(shuō)也是如此。

值得注意的是，在上述GitHub存儲(chǔ)庫(kù)[1，2]中發(fā)現(xiàn)的應(yīng)用程序是有效的npm項(xiàng)目，其格式和package.json清單的存在證明了這一點(diǎn)。然而，這些項(xiàng)目似乎沒(méi)有在npmjs.com上發(fā)布，npmjs是JavaScript項(xiàng)目的最大開(kāi)源注冊(cè)中心。

社區(qū)挺身而出揭開(kāi)攻擊之謎

切利克特佩在社交媒體上分享了自己的不幸經(jīng)歷后，向社區(qū)尋求幫助，以了解襲擊的機(jī)制。盡管他仔細(xì)檢查了GitHub存儲(chǔ)庫(kù)中的代碼，但他仍然不確定破壞MetaMask錢(qián)包的方法，因?yàn)樗麤](méi)有將錢(qián)包恢復(fù)短語(yǔ)存儲(chǔ)在自己的機(jī)器上。

為了回應(yīng)?eliktepe的求助，社區(qū)團(tuán)結(jié)起來(lái)，提供真正的支持和機(jī)會(huì)主義的加密機(jī)器人提供幫助。不幸的是，詐騙賬戶(hù)也出現(xiàn)了，誘使他連接欺詐性的“MetaMask支持”Gmail地址和谷歌表格。

來(lái)自社區(qū)的見(jiàn)解表明，?eliktepe執(zhí)行的npm項(xiàng)目可能允許攻擊者部署反向shell，從而可能暴露出開(kāi)發(fā)人員機(jī)器上的漏洞。

社區(qū)成員提出的其他理論包括，非法npm項(xiàng)目可能從啟用了自動(dòng)填充功能的網(wǎng)絡(luò)瀏覽器中復(fù)制了密碼，而不是用惡意軟件感染開(kāi)發(fā)者的機(jī)器。

此外，一些人猜測(cè)，在“技術(shù)面試”期間自愿運(yùn)行的代碼可能攔截了他的網(wǎng)絡(luò)流量，導(dǎo)致了安全漏洞。

小編推薦下載