资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
一起NPM攻击事件仅窃取价值50美元加密货币 专家警示行业安全风险
近期发生的Node Package Manager（NPM）攻击虽仅窃取价值50美元的加密货币，但行业专家指出该事件凸显了交易所与软件钱包持续存在的安全漏洞。
硬件钱包公司警示软件安全风险
硬件钱包制造商Ledger首席技术官Charles Guillemet在社交平台发文表示，这次未遂攻击事件"清晰提醒"人们软件钱包和交易所仍面临风险。"如果您的资产存放在软件钱包或交易所中，只需要一次代码执行就可能损失全部资金。"他同时强调，软件供应链入侵仍是恶意软件传播的主要途径。
Guillemet借此机会推广硬件钱包解决方案，指出清晰签名和交易验证等功能能帮助用户抵御此类威胁。"直接危险或许已经过去，但威胁仍然存在。请注意安全防范。"他补充道。
史上最大NPM攻击仅获利50美元
事件源于黑客通过伪造NPM支持域名发送钓鱼邮件获取开发者凭证。攻击者利用获得的账户权限，向多个流行代码库推送恶意更新，包括chalk、debug、strip-ansi等。
被注入的恶意代码试图通过拦截钱包地址并在网络响应中替换的方式劫持交易，影响范围涵盖比特币、以太坊、Solana、波场和莱特币等多个区块链网络。
技术专家解析攻击机制
The Open Network（TON）首席技术官Anatoly Makosov表示，此次事件仅影响18个软件包的特定版本，相关回滚版本已经发布。
Makosov分析称，受感染的软件包实质上成为加密货币地址劫持工具，会悄无声息地篡改依赖这些版本的产品中的钱包地址。这意味着与上述区块链交互的网页应用可能面临交易被拦截和重定向的风险，而用户对此毫不知情。
他特别指出，在恶意更新发布后数小时内进行构建部署的开发者，以及采用自动更新代码库而非锁定安全版本的应用面临最大风险。
开发者应对指南
Makosov分享了开发者自查应用是否受影响的方法清单：主要判断标准是代码是否使用了ansi-styles、chalk或debug等18个流行库的特定版本。若项目依赖这些版本，则很可能已被植入恶意代码。
解决方案包括回退至安全版本、重新安装洁净代码并重建应用程序。他补充说明，新的修复版本已经发布，敦促开发者尽快采取行动清除恶意代码，避免影响终端用户。
