黑客将恶意代码植入合法加密项目_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

黑客将恶意代码植入合法加密项目

2025-04-13 21:37:37

恶意代码注入合法项目，加密货币用户资产安全受威胁

网络安全研究人员近日发现，恶意攻击者正通过篡改npm软件包，对加密货币用户发起复杂的恶意软件攻击。据报告显示，此次攻击主要针对Atomic和Exodus钱包用户，攻击者通过注入恶意代码劫持交易，将资金重定向至攻击者控制的钱包。

供应链攻击威胁持续升级

这类攻击通常源于开发者，他们往往在不知情的情况下将受感染的npm包安装到项目中。在此次攻击活动中，一个名为"pdf-to-office"的软件包被发现含有隐藏的恶意代码。该软件包表面看似正常，但在安装后会扫描用户设备上安装的加密货币钱包，并注入能够拦截和重定向交易的恶意代码。

网络安全研究人员指出，这种攻击对受害者影响极其严重，恶意代码能够在用户不知情的情况下，将加密货币交易重定向至攻击者控制的钱包。该恶意软件可针对多种数字资产实施攻击，包括以太坊、Solana、XRP和基于Tron的USDT。当用户尝试发送资金时，软件会实时将合法钱包地址替换为攻击者控制的地址。

攻击机制与代码注入分析

根据技术分析，此次攻击分为多个阶段。首先，当用户安装受感染的软件包时，攻击即开始。随后，攻击过程包括钱包识别、文件提取、恶意代码注入，最终实现交易劫持。攻击者还使用混淆技术隐藏其意图，使得传统安全工具难以检测，等用户发现时为时已晚。

安装后，恶意软件包会执行其有效载荷，针对已安装的钱包软件进行攻击。代码首先识别钱包应用文件的位置，然后针对基于Electron的应用程序使用的ASAR包格式进行攻击。恶意软件会搜索诸如"AppData/Local/Programs/atomic/resources/app.asar"等路径中的文件。一旦定位到目标文件，恶意软件会提取应用程序存档，注入恶意代码，然后重建存档。

注入的恶意代码专门针对钱包软件中的JavaScript文件，特别是"vendors.64b69c3b00e2a7914733.js"等供应商文件。恶意软件会修改交易处理代码，使用base64编码将真实钱包地址替换为攻击者的地址。例如，当用户尝试发送以太坊时，代码会将接收方地址替换为解码后的攻击者地址。

攻击持续性与信息收集

感染完成后，恶意软件会与命令控制服务器通信，发送包括用户主目录路径在内的安装状态信息。这使得攻击者能够跟踪成功感染的情况，并可能收集有关受感染系统的信息。据ReversingLabs称，即使删除了受感染的软件包，系统上的Web3钱包仍可能保持感染状态，显示出攻击的持续性。

网络安全专家提醒开发者和用户提高警惕，在安装和使用第三方软件包时要格外谨慎，建议使用可靠的安全工具进行检测，并定期更新软件以防范此类攻击。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文