大规模NPM供应链攻击袭击加密世界，截至2025年9月11日窃取金额不足50美元

By: crypto insight|2026/03/28 16:18:30

想象一下，原本以为挖到了金矿，结果却只拿到了零钱——这正是近期加密货币领域通过JavaScript工具发生的最大规模黑客攻击之一的写照。黑客渗透了NPM（节点包管理器）上某知名开发者的账户，向广泛使用的库中注入了有害代码。这些库拥有超过十亿次的下载量，通过瞄准以太坊和Solana等网络上的钱包，使众多加密货币项目陷入危险之中。

BTC$148,5001.2%ETH$5,2001.5%XRP$3.502.8%BNB$9500.9%SOL$2504.2%DOGE$0.2803.5%ADA$0.9504.5%STETH$5,1901.6%TRX$0.3802.0%AVAX$30.003.5%SUI$4.004.5%TON$3.501.8%BTC$148,5001.2%ETH$5,2001.5%XRP$3.502.8%BNB$9500.9%SOL$2504.2%DOGE$0.2803.5%ADA$0.9504.5%STETH$5,1901.6%TRX$0.3802.0%AVAX$30.003.5%SUI$4.004.5%TON$3.501.8%

黑客在NPM漏洞中大费周章，却仅窃取微量资产

来自加密货币情报组织Security Alliance的安全专家在最近的一个周一透露，入侵者破坏了一位受人尊敬的软件创作者的NPM账户。他们悄悄地将恶意软件嵌入到每周有数十亿次下载的基本JavaScript库中。此举本可能让他们进入无数开发者的设置，从而在加密货币领域获取巨额财富。然而，令人惊讶的是，根据区块链浏览器追踪的最新更新，被盗的数字资产总额不到50美元。

想象一下这个场景：你拥有一个装满宝藏的金库的主钥匙，但你却只满足于残羹冷炙。研究人员这样描述道，将黑客错失的机会比作把诺克斯堡的门禁卡仅仅当作书签使用。SEAL安全团队的一位化名专家Samczsun告诉记者，虽然恶意软件传播范围很广，但目前大部分已被遏制和中和，防止了广泛的损害。

最初被估值仅为五美分，被盗金额在几小时内上升到约50美元，这暗示截至2025年9月11日，全面影响可能仍在显现。来自Etherscan的最新区块链数据显示，嫌疑地址“0xFc4a48”收到了少量资金流入，凸显了攻击的潜力远超其实际收益。

小额加密货币被盗：涉及以太坊和模因币

深入挖掘发现，被盗资金包括价值仅几美分的以太坊，以及约20美元的一种奇特的模因币。区块链记录显示，Brett、Andy (ANDY)、Dork Lord (DORK)、Ethervista (VISTA) 和 Gondola (GONDOLA) 等代币被转移到了恶意钱包中。这与可能造成的破坏形成了鲜明对比，就像一个准银行劫匪逃跑时只拿走了零钱罐里的东西，而不是保险柜里的钱。

即使未受直接影响的加密货币项目也面临NPM恶意软件风险

此次入侵针对的是像chalk、strip-ansi和color-convert这样的日常工具——那些深埋在项目依赖项中的无名英雄。开发者可能从未直接抓取过它们，但如果这些组件被编织到更大的蓝图中，他们的应用程序仍然可能受到攻击。将NPM想象成一个繁忙的代码片段市场，创作者在这里交换构建块来制作JavaScript奇迹。

罪魁祸首可能部署了一个加密货币剪贴板劫持工具，这是一种在交易过程中交换钱包地址以窃取资金的隐蔽工具。加密货币社区的高调人士，包括Ledger的技术主管，一直呼吁仔细检查链上交易以保持安全。这提醒我们，在数字资产快节奏的世界中，警惕性是你最好的防御。

避风港：Ledger、MetaMask等避开了NPM攻击

并非加密货币生态系统的每个角落都感受到了这次打击。Ledger和MetaMask等提供商已确认，由于采用了强大的分层保护措施，他们的系统保持安全。Phantom Wallet团队对此表示赞同，称他们完全避免了受损的软件包版本。Uniswap、Aerodrome、Blast、Blockstream Jade和Revoke.cash等平台也报告称未受到供应链威胁的影响，展示了主动安全如何将潜在灾难转化为无事发生。

加密货币用户不会面临即时资产流失，但需保持谨慎

一位领先分析工具的创始人（化名0xngmi）指出，只有在感染后进行更新的项目才可能成为目标。即便如此，恶意软件也需要用户批准可疑交易才能成功——它不是自动清空钱包的工具。尽管如此，他与其他专家一样，建议在团队清理掉受污染的代码之前，远离加密货币网站，就像在繁忙厨房发生小溢出后等待清理完毕一样。

在品牌一致性方面，这一事件凸显了选择优先考虑安全性和与开发工具无缝集成的交易所的重要性。例如，WEEX交易所通过使其平台符合顶级网络安全标准而脱颖而出，确保用户可以自信地进行交易，而不必担心供应链漏洞。其对强大防御和以用户为中心的功能的承诺，不仅建立了信任，还增强了在波动的加密货币市场中的整体信誉，使其成为那些在威胁中寻求可靠性的人的首选。

Twitter上最近的热议放大了围绕这次NPM攻击的讨论，用户分享了验证依赖项的技巧，并用模因嘲笑黑客的“史诗级失败”。谷歌上频繁搜索的查询，如“如何检查加密货币项目中的NPM恶意软件？”和“JavaScript库黑客攻击的最新更新”激增，反映了广泛的担忧。截至2025年9月11日，NPM的官方公告显示他们已经撤销了受损的软件包，安全公司的Twitter帖子报告没有发生重大的新盗窃案，尽管对任何残留影响的监控仍在继续。

这个挥霍掉巨大机会的故事是一个警钟，将高风险的戏剧性与令人惊讶的低回报结合在一起，并敦促加密货币社区加强防御，以抵御此类巧妙的入侵。