9月9日，Ledger首席技术官Charles Guillemet披露npm供应链攻击事件细节：攻击者通过伪造官方支持域名发送钓鱼邮件，非法获取用户凭证后发布恶意软件包更新。该攻击针对以太坊、Solana等区块链网络实施交易劫持，并篡改网络响应中的钱包地址。因攻击者操作失误导致CI/CD流程异常崩溃
9月9日，Ledger首席技术官Charles Guillemet披露npm供应链攻击事件细节：攻击者通过伪造官方支持域名发送钓鱼邮件，非法获取用户凭证后发布恶意软件包更新。该攻击针对以太坊、Solana等区块链网络实施交易劫持，并篡改网络响应中的钱包地址。因攻击者操作失误导致CI/CD流程异常崩溃，攻击行动提前暴露，实际损失轻微。同时披露开发者qix遭遇同类钓鱼攻击，多个热门npm包被植入恶意代码。官方警示供应链安全漏洞仍是恶意软件传播主渠道，针对性攻击频次上升，强调软件钱包及交易所用户面临单次代码执行即导致资产清零风险，需持续强化安全防护措施。
版权声明：如无特殊标注，文章均为本站原创，转载时请以链接形式注明文章出处。
为您推荐
7月16日，区块链安全机构SlowMist通报，交易平台BigONE因供应链攻击事件导致生产网络被入侵。攻击方通过篡改账户及风控服务器运行逻辑，非法提取资金，造成超过2700万美元损失。官方确认私钥未发生泄露。
PeckShield监测数据显示，8月4日CrediX平台遭遇安全攻击，攻击者通过非法获取的多重管理权限账户实施入侵，该账户同时具备资金池管理、跨链桥操作、资产上架审批及紧急处置等核心权限。攻击重点利用跨链桥（BRIDGE）权限进行异常操作，导致资金池资产损失达450万美元，其中包含未经授权铸造的无
Scam Sniffer于8月6日披露，一名用户在6小时前因钓鱼交易攻击损失约305万美元的加密资产。
安全公司ReversingLabs披露新型供应链攻击手法：黑客利用以太坊智能合约实施新型攻击手段，在npm包中植入隐蔽恶意指令。监测数据显示，两款恶意npm包（colortoolsv2和mimelib2）通过动态查询以太坊合约获取后续攻击指令，替代传统的硬编码链接方式，显著提升攻击隐蔽性。攻击者同步
9月9日，Binance创始人CZ针对NPM供应链安全事件发表观点称，开源软件的安全性已无法得到保障，Web3技术将重构Web2时代的安全框架，但行业仍处于发展初期。此前披露的开发者qix遭网络钓鱼攻击事件中，多个高流量npm软件包被植入恶意代码，暴露出开源生态系统的重大安全隐患。
币安钱包9月9日声明，近期波及多个JavaScript包的供应链攻击未对其系统造成任何影响，用户数据与资产均处于安全状态。受攻击的JavaScript包周下载量超过20亿次。该交易所重申供应链安全的关键性，并强调安全防护仍是其最高优先级事项。
9月9日，Ledger首席技术官Charles Guillemet披露npm供应链攻击事件细节：攻击者通过伪造官方支持域名发送钓鱼邮件，非法获取用户凭证后发布恶意软件包更新。该攻击针对以太坊、Solana等区块链网络实施交易劫持，并篡改网络响应中的钱包地址。因攻击者操作失误导致CI/CD流程异常崩溃
9月14日，稳定币项目Yala披露其协议近日遭遇未遂攻击，导致YU锚定价格短暂波动。官方表示，已联合慢雾及安全合作伙伴锁定问题根源，正部署改进措施强化系统。所有用户资产未受影响，团队将重点提升协议稳定性，后续进展将及时披露。慢雾团队确认已介入协助调查。
Socket Research Team于9月16日披露，周下载量达220万次的npm包@ctrl/tinycolor因恶意更新触发大规模供应链攻击，波及超40个关联包。受此影响的包体包含angulartics2@14.1.2、@ctrl/tinycolor@4.1.1/4.1.2、ngx-colo
Yala披露9月14日攻击事件技术细节，攻击者通过临时部署密钥建立非法跨链桥实施资金提取。受此影响，YU代币价格从1美元脱锚至0.2美元后回升至0.94美元，官方强调攻击未触发协议漏洞且比特币储备安全无损。目前黑客已返还2228.7万枚YU代币，剩余771.3万枚已转换为1635.572 ETH，其
疯狂比特