大规模供应链攻击危及开发者NPM账户
此次受影响的软件包累计下载量超过10亿次,使整个JavaScript生态系统面临风险。这场重大供应链攻击导致JavaScript生态陷入混乱,开发者和加密货币用户需保持高度警惕。作为应对措施,Ledger首席技术官Charles Guillemet正敦促硬件钱包持有者保持特别警觉,并在确认前手动审核每笔交易。
攻击事件始末
事件源于一位知名NPM开发者账户遭劫持,攻击者得以向广泛使用的JavaScript软件包发布恶意更新。这些被入侵的软件包总下载量已突破十亿次,使其成为迄今最严重的安全事件之一。攻击者近期获取了qix账户权限,该账户关联着JavaScript生态中多个基础核心库,受影响的重点软件包包括chalk、strip-ansi、color-convert、color-name以及is-core-module。
加密货币剪贴攻击:新型恶意威胁
植入的恶意软件被设计为加密货币剪贴器,其攻击方式隐蔽而危险——实时篡改网络请求中的钱包地址,劫持加密货币交易。这意味着用户发送资金时,目标地址可能被悄无声息替换为攻击者控制的地址。此外,研究人员正在调查该恶意载荷是否尝试窃取软件钱包的助记词,尽管尚未得到最终确认。
对开发者与加密用户的影响
被入侵的开发者软件包仍可能将恶意代码引入项目。虽然受影响软件包已发布补丁或下架,但旧版本可能仍潜伏在依赖项或锁定文件中。这表明除非进行彻底审计清除,否则系统仍存在风险。对加密货币用户而言,后果更为直接——交易可能被暗中篡改,资产会在未被察觉的情况下流失。
Ledger首席技术官特别强调应采取以下防护措施:立即审计所有依赖项;开发者需检查项目及锁定文件,确保不含受影响版本;将所有依赖项固定至最后已知的安全版本。使用支持交易明细显示的硬件钱包时,只要用户在签名前仔细核验每笔交易,即可获得有效保护。同时强烈建议:避免单纯依赖软件钱包进行链上交易。
加密领域要闻速递
富达投资近期在以太坊网络推出FDIT代币,该代币锚定2亿美元美国国债资产。