NPM 漏洞利用尝试凸显持续的加密安全风险

最近一次试图利用Node包管理器（NPM）生态系统漏洞的尝试，尽管造成的经济损失微乎其微，但已成为对加密货币用户和平台面临的持续安全威胁的严峻警告。此次事件凸显了对强大安全措施的迫切需求，特别是对于软件钱包和交易所而言。

主要启示

• 这次NPM攻击企图仅窃取了50美元的加密货币，却暴露了供应链中的重大漏洞。

• 专家强调，软件钱包和交易所仍然容易受到此类攻击。

• 硬件钱包因其清晰签名和交易验证等功能而被推广为更安全的替代方案。

NPM攻击揭秘

此次攻击源于恶意行为者通过冒充NPM支持的钓鱼邮件获取了开发者账户的访问权限。他们利用此权限，将恶意代码注入到流行的NPM库中，包括chalk、debug和strip-ansi。注入的代码旨在拦截和修改比特币、以太坊、Solana、Tron和莱特币等各种区块链交易中的加密货币钱包地址。

专家分析与影响

硬件钱包公司Ledger的首席技术官Charles Guillemet将此次事件描述为对持续风险的“明确提醒”。他指出，依赖软件钱包或将资金存放在交易所的用户“距离失去一切只差一次代码执行”，并强调供应链漏洞仍然是恶意软件传播的强大途径。Guillemet倡导使用硬件钱包，称其清晰签名和交易检查功能是抵御此类威胁的关键防御措施。

The Open Network (TON)的首席技术官Anatoly Makosov提供了更多细节，指出只有18个特定软件包的版本受到影响，并且已迅速发布回滚。他解释说，受感染的软件包充当了“加密剪贴器”，在使用受感染版本的应用程序中，悄悄地将合法的钱包地址替换为恶意的地址。这意味着与受影响区块链交互的Web应用程序面临交易在用户不知情的情况下被重定向的风险。

缓解措施与建议

Makosov指出，在恶意更新后不久推送构建的开发者以及自动更新代码库的应用程序是受影响最大的。他建议开发者回滚到受感染库的安全版本，重新安装干净的代码，并重建他们的应用程序。他还分享了一份识别受感染应用程序的清单，主要通过检查项目是否依赖于18个特定的受感染库版本。新的和更新的版本已经可用，并敦促立即采取行动清除恶意软件。

来源

• NPM攻击揭示供应链威胁仍危及加密货币，Cointelegraph。

本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。