新一波NPM供應鏈攻擊影響加密庫

新NPM供應鏈攻擊影響主要ENS和加密庫

一位研究人員警告，超過400個NPM庫——包括至少10個與加密貨幣相關的包，主要與ENS（以太坊名稱服務）有關——受到Shai Hulud惡意軟件的攻擊。

根據網絡安全公司Aikido Security的最新研究，這次大型JavaScript供應鏈攻擊已經影響了數百個軟件包。Aikido Security的研究員Charlie Eriksen在周一的帖子中分享了超過400個顯示出感染跡象的包名，這些包受到正在進行的JavaScript NPM庫供應鏈攻擊中使用的自我複製惡意軟件“Shai Hulud”的影響。Eriksen表示，他已經驗證了每一個檢測結果，以避免假陽性。

許多受影響的加密貨幣相關包每週下載量達到數萬，並且有許多其他包需要它們才能正常運行。在今天早些時候發佈的一則X帖文中，Eriksen還警告以太坊名稱服務（ENS）團隊，幾個他們的包也受到影響。

受影響的加密包是哪些？

在所有受影響的包中，至少有10個與加密貨幣行業直接相關，幾乎所有都與ENS有關。受影響的包包括ENS的content-hash，每週下載量接近36,000次，並且有91個依賴於它的軟件包，以及address-encoder，每週下載量超過37,500次。

其他受影響的ENS包還包括ensjs（每週超過30,000次下載）、ens-validation（每週1,750次下載）、ethereum-ens（每週12,650次下載）和ens-contracts（每週接近3,100次下載）。還有一個與ENS無關的加密包crypto-addr-codec也受到攻擊，每週下載量接近35,000次。

受影響的流行非加密包

受影響的非加密相關包包括一些由企業自動化平台Zapier提供的包，其中一個每週下載量超過40,000次。在隨後的帖子中，Eriksen指出了其他被感染的包，其中一些每週下載量接近70,000次，還有一個包的每週下載量超過150萬次。

Eriksen在X上寫道：“這次新的Shai Hulud攻擊的範圍實在是龐大；我們仍在處理隊列以確認所有內容。”

網絡安全公司Wiz聲稱已經“發現超過25,000個受影響的庫，涉及約350個獨特用戶，最近幾個小時內每30分鐘就有1,000個新庫不斷增加。”該公司建議對任何使用npm的環境進行“立即調查和修復”。

這次攻擊再次提醒我們，加密貨幣生態系統的安全性仍然面臨著嚴峻挑戰。開發者在使用開源庫時，必須更加謹慎，確保所用的庫不會成為攻擊者的跳板。這也突顯了對於供應鏈安全的重視，尤其是在快速發展的加密貨幣領域，任何一個小的安全漏洞都可能導致巨大的損失。

以上文章由特價GPT API KEY所翻譯及撰寫。而圖片則由FLUX根據內容自動生成。