NPM 供应链攻击迫使用户暂停加密交易

NPM 供应链攻击入侵了包括 chalk、debug 和 strip-ansi 在内的18个流行 JavaScript 包。黑客通过网络钓鱼劫持了开发者的 NPM 账户，注入了加密剪贴器恶意软件，它会对 fetch 和 XMLHttpRequest 进行 Monkey-patch。在实时交易中，它会将复制的 Web3 钱包地址替换为攻击者控制的地址，使欺诈交易几乎无法被察觉。 受影响的包每周下载量超过20亿次。该恶意软件可拦截 MetaMask 和其他软件钱包。软件钱包用户风险极高；只有具备透明签名功能的硬件钱包才能安全验证地址。迄今为止，窃取金额不足500美元，Uniswap (UNI)、SUI、Jupiter (JUP) 等协议，以及 MetaMask 和 Ledger 等钱包均未因这次 NPM 供应链攻击而遭受直接损失。 开发者应审计依赖项、锁定包版本并更新锁文件，以防止进一步感染。大部分受影响的包已被清理，但研究人员仍在持续监控威胁。交易者应暂停链上交易，签署前逐一核实地址，并在完成全面包审计前切换至硬件钱包。