Ledger首席技术官警告NPM重大漏洞后出现加密剪贴板恶意软件

一起重大供应链攻击事件在加密货币社区敲响警钟，尤其在开发者Qix的Node包管理器（NPM）账户遭入侵后。

硬件钱包提供商Ledger首席技术官Charles Guilletment近日在社交平台X（原推特）上向加密投资者发出严厉警告。他特别指出，被篡改的软件包下载量已超十亿次，整个JavaScript生态系统正面临威胁。

加密剪贴板恶意软件浮出水面

根据事件调查报告，此次攻击植入的恶意代码实为"加密剪贴板劫持者"——这类恶意软件会拦截并篡改加密货币交易。其运作机制是在网络请求中静默替换钱包地址，将资金从合法钱包转移至攻击者控制的地址。

对于硬件钱包用户，Guilletment建议在签署每笔交易前务必仔细核对。而非硬件钱包用户则被敦促暂停所有链上交易，直至事件彻底解决。

某加密专家证实正与NPM安全团队协同处理该漏洞。虽然大部分受感染软件包已完成恶意代码清除，但局势仍在演变。

紧急安全防护指南

本次供应链攻击针对知名开发者Qix，导致多个高影响力软件包被发布恶意版本。这些受影响软件包的周下载量合计突破十亿次，对JavaScript生态可能造成深远影响。

Guilletment强调应立即审计项目依赖项，建议开发者通过package.json文件中的overrides功能，将所有受影响软件包锁定至最后已知安全版本。

题图来自DALL-E创作，图表源自TradingView.com