自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

React漏洞引发钱包盗取攻击,黑客瞄准加密货币网站

2025-12-15 19:44:52
收藏

React服务器组件高危漏洞遭利用,加密货币钱包与服务器面临严重威胁

安全联盟与谷歌威胁情报组确认,攻击者正在利用React服务器组件中的CVE-2025-55182漏洞执行任意代码、窃取授权签名并清空加密货币钱包。尽管开发团队紧急发布补丁,但研究人员又发现两个新的服务器组件漏洞,并警告JavaScript供应链风险持续存在。




漏洞影响范围与应急响应

该远程代码执行漏洞影响React 19.0至19.2.0版本,涉及react-server-dom-webpack等多个核心包。Next.js、React Router等主流框架需立即升级至19.0.1、19.1.2或19.2.1版本。Vercel虽已部署Web应用防火墙规则,但仍强调必须升级至修补版本才能完全防护。




攻击手法与危害演变

谷歌威胁情报组监测到自12月3日起的大规模攻击活动,攻击者通过恶意HTTP请求在服务器端执行代码。黑客组织在AWS和阿里云服务器植入多种恶意软件,部分团伙部署远程访问隧道维持持久控制。12月5日起,犯罪分子开始植入门罗币挖矿程序,消耗受害者计算资源牟利。




供应链安全警钟再响

此次事件紧随9月8日npm生态攻击之后,当时黑客通过钓鱼手段控制开发者账户,向每周下载量超26亿的18个流行包植入恶意代码。攻击者注入的加密货币剪切程序会劫持浏览器功能,将合法钱包地址替换为受控地址。




加密货币犯罪态势升级

全球账本数据显示,2025年上半年共发生119起黑客事件,损失金额超30亿美元。70%的资金在事件曝光前已被转移,仅4.2%的被盗资产得以追回。最新洗钱流程仅需2分57秒,犯罪效率显著提升。




防护建议

安全机构建议相关组织立即更新React框架、部署WAF规则、审计所有依赖项,并监控由Web服务进程发起的wget或cURL命令,同时排查未经授权的隐藏目录和恶意Shell配置注入。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻