NPM供应链攻击刷屏：发生了什么？如何规避风险？

比推Dipublikasikan tanggal 2025-09-09Terakhir diperbarui pada 2025-09-09

原标题：一夜间「供应链攻击」刷屏：发生了什么？如何规避风险？

原作者：Azuma，Odaily 星球日报

北京时间 9 月 9 日，Ledger首席技术官 Charles Guillemet 于 X 发文预警表示：「目前正在发生一起大规模供应链攻击，一名知名开发者的 NPM 账号遭到入侵。受影响的软件包下载量已超过 10 亿次，这意味着整个 JavaScript 生态系统都可能面临风险。」

Guillemet 补充表示：「恶意代码的工作原理是在后台静默篡改加密货币地址，以此窃取资金。如果你使用硬件钱包，请仔细核对每一笔签名交易，你就是安全的。如果你没有使用硬件钱包，请暂时避免进行任何链上交易。目前尚不清楚攻击者是否已经在直接窃取软件钱包的助记词。」


发生了什么？

根据 Guillemet 所援引的安全报告内容，本次事件发生的直接原因在于：知名开发者 @qix 的 NPM 账户遭到入侵，导致数十个软件包被发布恶意版本，包括 chalk、strip-ansi 和 color-convert 等，恶意代码可能已经在开发者或用户自动安装依赖时扩散至终端。

Odaily 注：受损软件包的周下载量数据。

简而言之，这是一起经典的供应链攻击案例——即攻击者通过在开发工具或依赖系统中植入恶意代码（如 NPM 包）来进行作恶。所谓 NPM，全称为 Node Package Manager，它是 JavaScript/Node.js 生态里最常用的软件包管理工具，其主要作用包括管理依赖、安装和更新软件包、共享代码等等。

NPM 的生态规模极大，目前已有数百万个软件包，几乎所有 Web3 项目、加密钱包、前端工具都会依赖 NPM——也正是因为 NPM 依赖数量庞大且链路复杂，所以它是供应链攻击的高危入口，攻击者只要在一个常用软件包里植入恶意代码，就可能影响成千上万的应用和用户。

如上图的恶意代码扩散流程图所示：

· 某项目（蓝色框）会直接依赖一些常见的开源库，比如 express。

· 这些直接依赖（绿色框）又会依赖其他间接依赖（黄色框，如 lodash）。

· 如果某个间接依赖被攻击者偷偷植入了恶意代码（红色框），它会顺着依赖链条进入到该项目中。

这对加密货币意味着什么？

该起安全事件与加密货币行业的直接关系在于，黑客向上述受污染的软件包中植入的恶意代码是一个精密的「加密货币剪贴板劫持程序」，通过替换钱包地址和劫持交易来窃取加密资产。



Stress Capital 创始人 GE（@GuarEmperor）于 X 就此进行了更详细的解释，黑客所注入的"剪贴板劫持程序「采用了两种攻击模式——被动模式下使用「莱文斯坦距离算法（Levenshtein distance algorithm）」替换钱包地址，由于视觉上近似因此极难察觉；主动模式下则会在检测浏览器内的加密钱包，在用户签署交易前篡改目标地址。

由于本次攻击针对的是 JavaScript 项目基础层库，意味着即使间接依赖这些库的项目也可能受到影响。

黑客获利情况如何？

黑客所植入的恶意代码也披露了其攻击地址，黑客在以太坊上的主要攻击地址为 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976，资金上则主要来源于以下三个地址：

· 0xa29eEfB3f21Dc8FA8bce065Db4f4354AA683c0240

· x40C351B989113646bc4e9Dfe66AE66D24fE6Da7B

· 0x30F895a2C66030795131FB66CBaD6a1f91461731

Arkham 方面已就本次攻击事件制作了跟踪页面，在该页面可实时查询黑客攻击获利情况及转移情况。


截至发文，黑客攻击岁仅获利 496 美元，但考虑到目前尚未确定恶意代码的已扩散范围，预计该数据可能还会继续上升——开发者本人现已收到通知，正在与 NPM 安全团队积极合作解决问题，恶意代码目前已从大部分受影响的软件包中移除，所以情况正在得到控制。

该如何规避风险？

Defillama 创始人 @0xngmi 于 X 表示，本次事件虽然听起来很危险，但实际影响范围实际并没有那么夸张——因为本事件只会影响自被黑的 NPM 软件包发布以来推送过更新的网站，其他项目仍将使用旧版本；且大多数项目都会固定它们的依赖关系，所以即使它们推送更新，仍会继续使用旧的安全代码。

不过，由于用户侧无法真正知道某个项目是否固定了依赖项，或者它们是否有一些动态下载的依赖项，所以目前首先需要由项目方出面自检并进行披露。

截至发文，包括 MetaMask、Phantom、Aave、Fluid、Jupiter 等多个钱包或应用端项目方均已披露自身不受本次事件影响，故理论上用户可放心使用已确认安全的钱包正常访问已确认安全的协议，但对于其他尚未进行安全披露的钱包或项目，暂时避免使用可能会是更安全的做法。

Twitter：https://twitter.com/BitpushNewsCN

比推 TG 交流群：https://t.me/BitPushCommunity

比推 TG 订阅： https://t.me/bitpush

原文链接:https://www.theblockbeats.info/news/59580
说明: 比推所有文章只代表作者观点，不构成投资建议
AaveFLUIDJavascriptJupiterMetaMaskNPM供应链Phantom黑客
相关新闻

Bacaan Terkait

Saham Unitree Technology Naik 630% pada Hari Pertama IPO, Satu Lot Untung Hampir 50 Juta Yuan, Kapitalisasi Pasar Melebihi 440 Miliar Yuan

Yushu Technology kali ini menerbitkan saham perdana sebanyak 40.446.400 lembar, atau 10% dari total saham setelah penerbitan, dengan total dana yang berhasil dihimpun sekitar 6,099 miliar RMB. Setelah penerbitan, total saham mencapai sekitar 404 juta lembar, dengan jumlah saham yang dapat diperdagangkan tanpa batas pada tahap awal setelah listing hanya 30.087.720 lembar, atau sekitar 7,44% dari total saham.

9m yang lalu

Saham Unitree Technology Naik 630% pada Hari Pertama IPO, Satu Lot Untung Hampir 50 Juta Yuan, Kapitalisasi Pasar Melebihi 440 Miliar Yuan

9m yang lalu

Gas Alam Telah Berhasil Menembus Formasi Double Bottom dan Awan Ichimoku, Mendekati Zona Resistensi 2.800

Grafik 5-jam gas alam baru saja mengonfirmasi pola double bottom, tren kenaikan jangka pendek menembus awan, dan kini mendekati area resistensi kunci 2.800-2.830 dolar AS—namun yang paling ditakutkan oleh para bull adalah "jebakan bullish" yang ada di depan mata. Sinyal pembalikan struktur sangat jelas, tetapi tren utama masih cenderung bearish, titik masuk dan stop loss harus benar-benar tepat.

16m yang lalu

Gas Alam Telah Berhasil Menembus Formasi Double Bottom dan Awan Ichimoku, Mendekati Zona Resistensi 2.800

16m yang lalu

Satu Dekade, Wang Xingxing Menuju Kesuksesan: Unitree Tembus Rp 4.000 Triliun

Cerita Wang Xingxing dan Unitree adalah kisah sukses yang menginspirasi dalam dunia teknologi robotika. Pada 2019, saat perusahaan startupnya, Unitree, hampir bangkrut dengan sisa dana hanya ratusan ribu yuan, ia mempresentasikan anjing robot karyanya kepada investor. Presentasi itu menarik perhatian Sequoia Capital China, yang kemudian memutuskan untuk berinvestasi. Tujuh tahun kemudian, Unitree resmi melantai di Bursa Saham STAR pada 19 Agustus, menjadi perusahaan robot humanoid pertama di pasar modal A China. Harga saham perdana melonjak lebih dari 500%, mengantarkan valuasi perusahaan sekitar 400 miliar yuan. Wang Xingxing, yang dulu harus naik kereta kelas ekonomi untuk mendemonstrasikan robotnya karena baterai yang melebihi batas, kini menjadi miliarder termuda di Bursa STAR. Sequoia China, sebagai investor awal sejak putaran pendanaan Pre-A, terus mendukung hingga Unitree IPO, menjadi dana ekuitas swasta independen dengan kepemilikan terbesar (7,11%). Keberhasilan IPO Unitree menjadi titik tolak dan referensi valuasi bagi industri kecerdasan berwujud (embodied AI) di China, yang kini semakin banyak dilirik investor seperti Meituan, Tencent, Alibaba, dan lainnya. Kisah ini menegaskan kemenangan hasrat, ketekunan, dan keyakinan di tengah keraguan. Seperti visi awal Wang Xingxing untuk menciptakan robot raksasa hingga robot mikro, perjalanan Unitree membuktikan bahwa "outlier" dengan keyakinan kuat dapat mengubah masa depan industri.

marsbit44m yang lalu

Satu Dekade, Wang Xingxing Menuju Kesuksesan: Unitree Tembus Rp 4.000 Triliun

marsbit44m yang lalu

Indeks Semikonduktor Philadelphia Jatuh Hampir 5% dalam Satu Malam, Optik dan Penyimpanan 'Kolaps': Suku Bunga Obligasi AS Melonjak, Keyakinan AI Mulai Goyang

Indeks Philadelphia Semiconductor anjlok hampir 5% dalam satu malam, dengan sektor komponen keras AI seperti komunikasi optik dan chip memori mengalami penjualan besar-besaran. Penyebab utama adalah lonjakan imbal hasil obligasi AS (yield) jangka panjang, di mana yield obligasi pemerintah AS 30 tahun menyentuh level tertinggi sejak 2007. Kenaikan biaya pendanaan ini meningkatkan persyaratan imbal hasil untuk investasi modal, sehingga secara langsung memberi tekanan pada valuasi saham-saham pertumbuhan seperti di sektor AI yang sangat sensitif terhadap suku bunga. Tekanan juga datang dari kenaikan harga minyak mentah di atas $91 per barel akibat ketegangan geopolitik di Selat Hormuz, yang memicu kekhawatiran inflasi dan semakin mendorong kenaikan yield obligasi jangka panjang. Analis mencatat bahwa saham-saham yang paling terdampak, seperti Fabrinet (-19.38%) dan produsen memori, adalah aset dengan durasi terpanjang dan narasi AI "paling murni" yang sebelumnya telah mengalami kenaikan signifikan dan kepadatan posisi perdagangan yang tinggi. Penurunan ini mencerminkan reset valuasi di dalam narasi AI itu sendiri, beralih dari imajinasi pengeluaran modal tanpa batas ke perhitungan biaya modal yang sebenarnya. Meski terjadi tekanan besar, penurunan belum membatalkan logika dasar AI. Saham seperti Nvidia hanya turun 2.34%, menunjukkan bahwa koreksi saat ini lebih pada valuasi dan kepadatan posisi, bukan pada pembatalan narasi. Arah pasar selanjutnya akan bergantung pada tiga faktor: apakah yield obligasi 30 tahun AS dapat berhenti naik di sekitar 5.3%, perkembangan harga minyak dan situasi geopolitik, serta sinyal harga dari pendanaan obligasi proyek AI seperti penerbitan obligasi data center QTS dengan biaya 7.228%.

marsbit44m yang lalu

Indeks Semikonduktor Philadelphia Jatuh Hampir 5% dalam Satu Malam, Optik dan Penyimpanan 'Kolaps': Suku Bunga Obligasi AS Melonjak, Keyakinan AI Mulai Goyang

marsbit44m yang lalu

Proporsi Manufaktur Menembus 25%, Apakah Hangzhou Tidak Khawatir?

Kota Hangzhou sedang memasuki periode kunci penyesuaian industri baru. Di satu sisi, kota ini terus memperkuat manufaktur dengan rencana "membangun kembali industri Hangzhou", namun data menunjukkan pangsa nilai tambah industri skala besar terhadap PDB terus menurun, mencapai hanya 20,1% pada tahun lalu. Di sisi lain, jasa terus tumbuh, dengan kontribusinya terhadap PDB mencapai 75,3% pada paruh pertama tahun ini, tertinggi keempat setelah Beijing, Shanghai, dan Guangzhou. Angka 25% pernah dianggap sebagai "garis batas" minimal bagi pangsa manufaktur sebuah kota besar. Meski Hangzhou tidak menetapkan target eksplisit, tren kenaikan kontribusi jasa ini memunculkan kembali pertanyaan tentang apakah fondasi manufaktur menjadi terlalu tipis. Namun, Hangzhou memiliki konteksnya sendiri. Sejak 2008, kota ini telah mengadopsi strategi "prioritas jasa", dengan ekonomi digital sebagai penggerak utamanya. Kekuatan inti dari "Enam Naga Kecil" Hangzhou, seperti perusahaan robot humanoid Yushu Technology yang baru saja melantai di bursa, justru didukung oleh keunggulan inti di sektor jasa, khususnya jasa produksi seperti teknologi informasi dan penelitian & pengembangan. Pangsa jasa produksi di Hangzhou terhadap total nilai tambah jasa sudah mencapai 63,2% pada 2024, melebihi Shanghai dan hanya di bawah Beijing. Para ahli berpendapat bahwa dalam ekonomi modern, jasa produksi (R&D, logistik, keuangan, dll.) justru menentukan nilai tambah dan profitabilitas rantai industri manufaktur. Pola perkembangan Hangzhou bisa dibilang sebagai model "perangkat lunak mendorong perangkat keras". Oleh karena itu, menilai Hangzhou hanya dari penurunan persentase manufaktur di PDB mungkin tidak lengkap. Perdebatan kebijakan nasional juga bergeser dari "mempertahankan proporsi dasar manufaktur" menjadi "proporsi yang wajar", yang menekankan peningkatan kualitas sistemik. Hangzhou sendiri menargetkan pangsa nilai tambah industri terhadap PDB di atas 22% pada 2027, sambil terus mendorong pengembangan dan peningkatan kualitas sektor jasanya.

marsbit1j yang lalu

Proporsi Manufaktur Menembus 25%, Apakah Hangzhou Tidak Khawatir?

marsbit1j yang lalu

Trading

Spot
活动图片

Kategori Populerright-arrow

Tag Populerright-arrow