Wu Shuo indique que, selon la surveillance de l’équipe de SlowMist, une vague récente d’attaques malveillantes de type fausse offre d’emploi vise des développeurs Web3. Les attaquants se font passer pour des recruteurs sur LinkedIn : ils établissent d’abord la confiance via un processus d’entretien, puis incitent les développeurs à exécuter un dépôt GitHub présenté comme un projet « MVP d’entretien ». Ce dépôt dissimule, dans theme/js/auron-core.min.js, un plugin Tailwind malveillant, déploie plusieurs charges malveillantes et sert à voler des identifiants de navigateur, des données de portefeuille, à collecter des fichiers sensibles, à exécuter des commandes à distance et à surveiller le presse-papiers. SlowMist rappelle aux développeurs qu’avant d’exécuter un dépôt inconnu, ils doivent impérativement vérifier les scripts du projet, les dépendances et les configurations de build, et se méfier du fait que des workflows réputés fiables puissent devenir un vecteur d’attaque.