一夜之间，“供应链攻击”占据了头条新闻：发生了什么？我们如何降低风险？

一家知名开发者的NPM账号被黑客攻击，恶意版本的包如chalk和color-convert被释放，下载次数达到数十亿次——引发了巨大的供应链风险。

攻击者嵌入了一个剪贴板劫持程序，该程序使用近乎相同的视觉效果替换加密钱包地址 (，通过 Levenshtein 距离 ) 或主动覆盖浏览器检测到的地址以拦截交易。

虽然黑客获得的总额仅约为 ~$496，但大多数受影响的软件包已经修复或删除；主要的钱包(，例如MetaMask、Phantom)确认未受影响，但仍需保持警惕。

一场重大的NPM供应链攻击已经危及到广泛使用的JavaScript包——下载超过10亿次——这些包注入了加密地址劫持者，悄悄窃取资金。以下是发生的事情以及如何保护自己。

在北京时间9月9日，Ledger的首席技术官Charles Guillemet在X上发布了警告：“目前正在进行大规模供应链攻击，一位知名开发者的NPM账号已被攻陷。受影响的包已被下载超过10亿次，这意味着整个JavaScript生态系统可能面临风险。”

Guillemet补充道：“恶意代码通过在后台悄悄篡改加密货币地址来窃取资金。如果您使用硬件钱包，请仔细检查每一笔签名交易，您将会安全。如果您不使用硬件钱包，请暂时避免进行任何链上交易。目前尚不清楚攻击者是否直接窃取软件钱包的助记词。”

发生了什么？

根据Guillemet引用的安全报告，此事件的直接原因是著名开发者@qix的NPM账号被黑客攻击，导致数十个软件包的恶意版本发布，包括chalk、strip-ansi和color-convert。恶意代码可能在开发者或用户自动安装依赖时传播到终端。

Odaily Note: 被泄露软件包的每周下载数据。

简而言之，这是一个供应链攻击的经典案例——攻击者在开发工具或依赖系统中插入恶意代码(，例如NPM包)。NPM，即Node包管理器，是JavaScript/Node.js生态系统中最常用的包管理工具。它的主要功能包括管理依赖、安装和更新包，以及共享代码。

NPM的生态系统非常庞大，目前有数百万个软件包可用。几乎所有的Web3项目、加密钱包和前端工具都依赖于NPM。正是因为NPM依赖于大量的依赖项和复杂的链接，它成为供应链攻击的高风险切入点。只要攻击者在一个常用的软件包中植入恶意代码，就可能影响数千个应用程序和用户。

如上图所示的恶意代码扩散流程图：

某个项目 (blue box) 将直接依赖一些常见的开源库，例如 express。

这些直接依赖 (绿色框) 反过来又依赖于其他间接依赖 (黄色框，例如 lodash)。

如果一个间接依赖被攻击者秘密植入恶意代码(红盒)，它将沿着依赖链进入项目。

这对加密货币意味着什么？

此次安全事件与加密货币行业的直接相关性在于，黑客植入上述被污染软件包的恶意代码是一种复杂的“加密货币剪贴板劫持器”，通过替换钱包地址和劫持交易来窃取加密资产。

Stress Capital 创始人 GE (@GuarEmperor) 在 X 上对此进行了更详细的解释。黑客注入的 “剪贴板劫持者” 使用两种攻击模式：被动模式使用 “莱文斯坦距离算法” 替换钱包地址，由于其视觉相似性，极难被检测到；主动模式则在浏览器中检测加密钱包，并在用户签署交易之前篡改目标地址。

由于此次攻击针对的是JavaScript项目的基础层库，甚至间接依赖这些库的项目也可能受到影响。

黑客能赚多少钱？

黑客植入的恶意代码还披露了其攻击地址。黑客在以太坊上的主要攻击地址是0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976，资金主要来自以下三个地址：

0xa29eEfB3f21Dc8FA8bce065Db4f4354AA683c0240

x40C351B989113646bc4e9Dfe66AE66D24fE6Da7B

0x30F895a2C66030795131FB66CBaD6a1f91461731

Arkham 创建了一个跟踪页面，用于此攻击，用户可以实时查看黑客的利润和转账状态。

截至本帖发布时，黑客仅从此次攻击中获利496美元，但考虑到恶意代码的传播范围尚未确定，预计这一数字可能会继续上升。开发者已被通知，并正与NPM安全团队积极合作以解决此问题。恶意代码已从大多数受影响的包中移除，因此情况已得到控制。

如何避免风险？

Defillama 创始人 @0xngmi Yu X 表示，尽管这起事件听起来很危险，但实际影响并没有那么夸张——因为此次事件只会影响自被黑客攻击的 NPM 包发布以来推送更新的网站，其他项目仍将使用旧版本；而且大多数项目会修复它们的依赖关系，因此即使他们推送更新，也将继续使用旧的安全代码。

然而，由于用户无法真正知道一个项目是否具有固定依赖关系或是否有一些动态下载的依赖关系，因此项目方目前需要进行自查并首先进行披露。

截至本帖发布时，包括MetaMask、Phantom、Aave、Fluid和Jupiter在内的多个钱包或应用项目已披露他们未受此事件影响。因此，理论上，用户可以安全地使用已确认安全的钱包访问已确认安全的协议。然而，对于尚未公布安全信息的其他钱包或项目，暂时避免使用它们可能更安全。

〈一夜之间，“供应链攻击”占据头条：发生了什么？我们该如何缓解风险呢？〉篇文章最早發佈於《CoinRank》。