区块链领域的安全研究员dm近期在某平台上发布了一则重要警示，指出Github上一个Web3项目中存在安全隐患。据其透露，这个开源项目居然设计了一个用于窃取用户Solana钱包私钥的隐蔽后门。具体而言，checkrug.py脚本通过base64和zlib的循环编码技术，悄然执行了非法操作。
对此，区块链安全公司慢雾科技的创始人余弦也在同一平台发表评论，他强调，这个开源bot中隐藏的后门代码对于不熟悉技术的用户来说极具欺骗性，尤其是那些看似无意义的“乱码”部分，很可能隐藏着不为人知的陷阱。余弦指出，通常开源项目会追求代码的高可读性，而这种混淆行为显然违背了这一原则。
值得注意的是，该恶意代码的作者似乎已经意识到了问题，删除了包含后门的文件。余弦呼吁，任何曾经下载并使用过这个bot的用户应立即进行安全检查，以防止潜在的私钥泄露风险。这一事件再次凸显了在参与Web3项目时，用户必须对代码安全保持高度警惕。