การโจมตีห่วงโซ่อุปทาน npm Shai-Hulud แพร่เชื้อ 490 ไลบรารี ENS

การโจมตีซัพพลายเชนของ npm ที่รู้จักกันในชื่อ Shai-Hulud 2.0 ได้แทรกซึมมากกว่า 490 แพ็กเกจ npm รวมถึงไลบรารี ENS ที่สำคัญ ส่งผลกระทบต่อการดาวน์โหลดรายเดือนกว่า 132 ล้านครั้งและมากกว่า 25,000 รีโพสิตอรีบน GitHub มัลแวร์จะติดตั้งสคริปต์ bun_environment.js ผ่าน Bun ในช่วงก่อนการติดตั้ง จากนั้นจะใช้งาน TruffleHog เพื่อสแกนและขโมยรหัสผ่าน คีย์ API และโทเค็นกระเป๋าเงินไปยังรีโพสิตอรีสาธารณะ ระลอกการโจมตีซัพพลายเชน npm ครั้งนี้ขยายผลจากการละเมิดในเดือนกันยายนด้วยการสุ่มชื่อรีโพสิตอรีและการติดเชื้อในห่วงโซ่การพึ่งพาที่ลึกขึ้น นักวิจัยด้านความปลอดภัยจาก Aikido Security, Ledger และ Nextron Systems แนะนำให้ตรวจสอบการพึ่งพาของ npm หมุนเวียนข้อมูลประจำตัว และติดตามสายงาน CI/CD แม้ว่าจะยังไม่มีผลกระทบต่อตลาดอย่างทันทีทันใด แต่ผู้ค้า ควรระวังความเสี่ยงที่อาจเกิดขึ้นกับ ENS และโทเค็นที่เกี่ยวข้อง และบังคับใช้มาตรการรักษาความปลอดภัยอย่างเข้มงวด