"大规模"加密货币漏洞引发恐慌实际损失仅千美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

"大规模"加密货币漏洞引发恐慌实际损失仅千美元

2025-09-11 04:05:48

根据Arkham Intelligence的数据，本周早些时候引发广泛关注的JavaScript代码大规模恶意攻击事件，截至目前仅窃取了价值1043美元的加密货币。

供应链攻击波及10%云环境

网络安全公司Wiz昨日发布分析报告称，这是一次"影响广泛"的供应链攻击。攻击者通过社会工程学手段控制了知名JavaScript代码包开发者Qix（Josh Junon）的GitHub账户，随后发布了包含恶意代码的软件包更新。这些恶意代码会激活API和加密钱包接口，扫描加密货币交易并篡改收款地址等交易数据。

令人担忧的是，Wiz研究人员发现10%的云环境中存在该恶意代码实例，且99%的云环境使用了被攻击者锁定的软件包——不过并非所有环境都下载了受感染的更新版本。

实际获利远低于预期规模

尽管攻击规模可能十分庞大，但Arkham最新数据显示，攻击者的钱包仅收到相对较少的1043美元。过去几天这个数字增长缓慢，主要是ERC-20代币的小额转账，单笔交易金额在1.29美元至436美元之间。

史上最大npm供应链攻击事件

该攻击已从Qix的npm软件包扩展到DuckDB SQL数据库管理系统。JFrog Security昨日更新的报告指出，这可能是"npm历史上最大规模的入侵事件"。

Wiz研究人员表示："攻击者已经意识到，只需攻陷一个软件包或依赖项，就能同时渗透数千个环境。这正是此类事件（从域名抢注到恶意软件包劫持）持续增加的原因。"

开发者安全意识提升

Wiz指出，此次事件凸显了保护开发流程的重要性，建议企业对整个软件供应链保持可视性，并监控软件包异常行为。在Qix事件中，许多机构在恶意代码发布两小时内就完成了检测。

"快速检测是经济损失有限的主要原因之一，"研究人员解释，"此外，恶意代码仅针对特定条件的用户设计，客观上缩小了影响范围。"

随着开发者安全意识的提升，多数企业已建立防护机制，能够在可疑活动造成严重损害前进行拦截。研究人员总结："虽然不排除后续发现更多影响的可能性，但根据现有信息，快速的检测和下架行动有效遏制了攻击者的得逞。"

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文