区块链开发者在 MetaMask 钱包骗局中损失 500 美元

据CryptoPotato报道，区块链开发者Murat Çeliktepe遭遇了一场骗局，导致他的MetaMask钱包损失了500美元。一个冒充招聘人员的人在 LinkedIn 上联系了Çeliktepe，提供了一个网络开发工作机会。在求职面试期间，招聘人员指示 Çeliktepe 从 GitHub 存储库中托管的两个 npm 包中下载并调试代码。遵照指示操作后，该开发人员发现自己的 MetaMask 钱包已被耗尽，账户中的 500 多美元被骗走。 Upwork 上的招聘信息声称，任务预计在不到一个月的时间内完成，时薪在 15 美元到 20 美元之间。技术面试通常涉及带回家的练习或概念验证任务，因此即使对具有技术专长的个人来说，这种报价也很有说服力。上述 GitHub 存储库中的应用程序都是有效的 npm 项目，但它们尚未在最大的 JavaScript 项目开源注册中心 npmjs.com 上发布。 在社交媒体上分享了自己的经历后，Çeliktepe 向社区寻求帮助，以了解攻击的机制。社区对此给予了支持，并就攻击者如何攻破他的 MetaMask 钱包提出了各种理论。一些人认为，Çeliktepe 执行的 npm 项目可能允许攻击者部署反向 shell，从而暴露开发者机器上的漏洞。还有人认为，非法 npm 项目可能从启用了自动填充功能的网络浏览器中复制了密码，或者在技术访谈期间截获了网络流量。