NPM供应链攻击

npm供应链攻击

2026-08-05 03:52:02

慢雾：Keyv/Cacheable生态遭大规模npm供应链攻击，恶意版本超2000个

慢雾8月5日披露，Keyv/Cacheable生态遭大规模npm供应链攻击，攻击者发布超过2000个恶意软件包版本，其中包含keyv@6.0.0。Keyv周下载量约1.27亿次，下游供应链风险面较大。攻击手法与Shai-Hulud蠕虫活动高度相似，可能窃取凭证、泄露CI/CD密钥并横向传播。安全团队被建议立即排查并升级至验证版本。

1850

NPM供应链攻击

2026-07-09 04:02:42

Ledger CTO预警NPM供应链攻击：10亿下载含恶意地址替换代码

Ledger首席技术官Charles Guillemet警告称，一场大规模NPM供应链攻击正在进行，恶意代码可静默替换加密货币地址，影响超10亿次下载，建议未使用硬件钱包的用户暂停链上交易。

520

Ledger

2026-07-09 03:58:16

Ledger CTO预警：NPM供应链攻击席卷JS生态，加密地址遭自动替换

Ledger首席技术官Charles Guillemet警告称，一场大规模NPM软件供应链攻击正在进行，恶意代码可自动替换加密地址以窃取资金，影响下载量超10亿，涉及所有区块链。硬件钱包用户相对安全。

460

Ledger

2026-07-09 03:56:17

Ledger CTO警告NPM供应链攻击：超10亿次下载，恶意代码静默换币

Ledger首席技术官Charles Guillemet警告称，一场针对NPM包的供应链攻击正在大规模进行，恶意代码可在交易时静默替换加密地址，建议用户暂停链上交易并使用硬件钱包确认签名。

510

npm供应链攻击

2026-07-01 12:31:27

慢雾警报：npm供应链攻击利用虚假交易机器人仓库，30个恶意包窃取加密钱包私钥和助记词

慢雾发布安全警报，监测到一场协同恶意npm供应链攻击，攻击者通过虚假交易机器人仓库和DeFi主题npm包投放JavaScript信息窃取器，涉及30个恶意包，其中stake-math@3.5.4被锁定在donoaccestag/forex-mt5-trading-bot仓库中，该仓库约有2300个高度同质化的批量生成分叉。攻击者可窃取加密钱包库、浏览器凭据、Shell历史、密码管理器库、私钥、助记词及API令牌等敏感数据。慢雾建议开发者立即移除受影响包，轮换所有暴露的凭据，并从干净镜像重建环境。

1870

npm供应链攻击

2026-07-01 10:31:33

慢雾警报：npm供应链攻击瞄准DeFi开发者，30个恶意包窃取私钥与助记词

慢雾SlowMist发布安全警报，发现一场协同恶意npm供应链攻击。攻击者通过虚假交易机器人仓库和DeFi主题npm包分发JavaScript信息窃取器，涉及30个恶意包，其中stake-math@3.5.4作为锁定依赖出现在约2300个高度同质化的GitHub分叉中。攻击可窃取加密钱包库、私钥、助记词、浏览器Cookie、开发者凭据等敏感数据。慢雾建议立即移除受影响包、轮换所有凭据并从干净镜像重建环境。

1970