ブロックチェーン開発者、MetaMaskウォレット詐欺で500ドルを失う

CryptoPotatoによると、ブロックチェーン開発者のMurat Çeliktepe氏が詐欺の被害に遭い、MetaMaskウォレットから500ドルを失った。Çeliktepe氏はLinkedInで、ウェブ開発の仕事を提供するリクルーターを装った人物から連絡を受けた。面接の際、採用担当者はGitHubリポジトリにホストされている2つのnpmパッケージからコードをダウンロードしてデバッグするようÇeliktepeに指示した。その指示に従った後、開発者は自分のMetaMaskウォレットが枯渇し、アカウントから500ドル以上が不正に引き出されていることを発見した。 Upworkに掲載された求人情報では、1ヶ月以内に完了する見込みのタスクに対して15ドルから20ドルの時給を提示していた。技術面接では、持ち帰りの練習問題や概念実証の課題が課されることが多く、技術的な専門知識がある人でも納得できる内容になっている。言及されたGitHubリポジトリで見つかったアプリケーションは有効なnpmプロジェクトだが、JavaScriptプロジェクトのための最大のオープンソースレジストリであるnpmjs.comでは公開されていない。 ソーシャルメディアで自身の経験を共有した後、Çeliktepe氏は攻撃の仕組みを理解するためにコミュニティに支援を求めた。コミュニティは、攻撃者がどのようにしてMetaMaskウォレットを破ったのかについて、サポートと様々な理論で応えた。ある者は、Çeliktepeが実行したnpmプロジェクトによって、攻撃者がリバースシェルを展開し、開発者のマシンの脆弱性を露呈させた可能性を示唆した。また、不正なnpmプロジェクトが、自動入力を有効にしたウェブブラウザからパスワードをコピーしたか、技術面接中にネットワークトラフィックを傍受したのではないかという意見もあった。