近日，一项安全分析发现GitHub上存在一个恶意仓库，该仓库伪装成COLDCARD硬件钱包随机数生成器的概念验证（PoC）工具。表面上，该软件看似合法的安全测试实用程序，但实际包含远程代码执行后门及信息窃取组件。
分析显示，恶意代码能够窃取敏感数据，包括钱包种子短语、私钥、浏览器密码、SSH密钥及其他凭证，并通过Telegram将收集到的信息外传。该恶意软件还设计为在Windows、macOS和Linux系统上建立持久化机制。
研究人员警告称，任何执行过该代码的用户都应视为设备已完全受损。建议的操作包括：轮换所有凭证、将加密货币资产转移至新生成的钱包，并向GitHub举报该恶意仓库。
该分析进一步提醒安全研究人员和普通用户，切勿在包含钱包或其他敏感数据的设备上运行概念验证漏洞利用代码，除非该代码已经独立验证为安全。