Ledger首席技术官警告用户：NPM供应链漏洞危及加密资产安全_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Ledger首席技术官警告用户：NPM供应链漏洞危及加密资产安全

2025-09-09 21:25:50

大规模供应链漏洞震惊开源社区

知名开发者的Node包管理器(NPM)账户遭黑客入侵，引发波及整个JavaScript生态系统的重大安全事件。该事件导致多个广泛使用的软件包被植入恶意代码，造成潜在供应链风险。

事件概述

黑客通过接管知名NPM开发者账户触发供应链攻击，使整个JavaScript社区面临安全威胁。受影响软件包累计下载量超10亿次，暴露出巨大安全隐患。Ledger首席技术官Charles Guillemet建议用户验证每笔交易，并使用配备安全显示屏的硬件钱包进行防护。

NPM漏洞引发钱包安全担忧

Ledger技术负责人Charles Guillemet披露了此次威胁的严重性。他表示被入侵的NPM账户影响力巨大，受污染软件包下载量已突破10亿次，这意味着整个JavaScript生态系统都可能暴露在风险中。恶意代码会实时篡改加密货币地址，将资金转移至攻击者账户。

Guillemet强调，硬件钱包用户只要在确认前仔细核查每笔交易就能保持安全。对于软件钱包用户，他建议在当前事态明朗前暂停链上交易。目前尚不确定攻击者是否试图直接窃取软件钱包的助记词。

开发者确认账户失陷

本次事件的核心维护者Josh Junon证实其NPM账户遭遇钓鱼攻击。攻击者伪造了形似npmjs官方的"support@npmjs.help"域名，向维护者发送威胁邮件，谎称账户将在2025年9月10日被锁定，诱导用户点击钓鱼链接。

其他开发者陆续报告遭遇相同攻击模式，证实此次钓鱼活动针对多个维护者。伪造邮件声称："为保障账户安全，请尽快完成验证。未更新双重认证的账户将于2025年9月10日起被临时锁定。"

应对措施与技术分析

NPM团队发现入侵后立即下架攻击者上传的恶意版本，其中包括每周下载量约3.57亿次的debug软件包。安全公司Aikido的分析显示：

攻击者在劫持的软件包index.js文件中植入恶意代码，作为浏览器拦截器针对加密用户。该恶意程序通过挂钩fetch、XMLHttpRequest等函数及钱包API，监控并篡改涉及以太坊、比特币等主流链的交易地址。

为规避检测，该程序在存在钱包时保持静默运行，仅在后台实时修改交易细节，使界面显示正常而实际将资金转入攻击者地址。

强化安全防护建议

Guillemet向媒体警告，包含问题软件包的去中心化应用或软件钱包可能存在安全隐患。他强调最可靠的保护措施是使用支持清晰签名验证的硬件钱包，让用户能在设备屏幕上直接核对每笔交易的详细信息。

他补充道："这次事件再次警示我们必须遵守基本安全准则：始终验证交易，切勿盲目签名。"同时建议用户优先选用配备安全显示屏的硬件钱包来确保资产安全。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文