慢雾警报：npm供应链攻击瞄准DeFi开发者，30个恶意包窃取私钥与助记词

攻击概述：虚假交易机器人仓库与恶意npm包

7月1日，区块链安全机构慢雾SlowMist发布安全警报，监测到一场协同恶意npm供应链攻击。攻击者利用虚假的交易机器人GitHub仓库和DeFi主题的npm包，向社区投放JavaScript信息窃取器。目标直指npm用户、DeFi开发者以及交易机器人用户。本次攻击共涉及30个恶意npm包，其中 stake-math@3.5.4 作为锁定依赖项出现在仓库 donoaccestag/forex-mt5-trading-bot 中。值得注意的是，该仓库呈现约2300个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，攻击信号异常明确。

窃取范围：从钱包密钥到开发者凭据

攻击者植入的窃取器具有广泛的数据收集能力。据慢雾分析，可窃取的敏感数据包括：加密钱包库、浏览器Cookie与已保存密码、浏览历史记录、开发者凭据、Shell历史记录、密码管理器库、私钥、助记词，以及源代码中暴露的API令牌。如此全面的窃取范围意味着一旦开发者安装了受影响的包，其几乎全部数字身份和资产都将面临泄露风险。

自查与响应：立即行动降低风险

针对此次攻击，慢雾建议开发者立即执行以下操作：

• 移除所有受影响的npm包，并审计 package.json 与 package-lock.json 以及CI日志中是否包含30个恶意包中的任何一个。
• 将曾执行 npm install 的系统视为可能已被入侵。
• 轮换所有可能暴露的钱包、私钥、npm令牌、云凭据、SSH密钥及API令牌。
• 从干净镜像重建受影响的开发或生产环境。