大規模NPM供應鏈攻擊襲擊加密世界，截至2025年9月11日竊取金額不足50美元

By: crypto insight|2026/03/28 08:18:46

想像一下，原本以為挖到了金礦，結果卻只拿到了零錢——這正是近期加密貨幣領域通過JavaScript工具發生的最大規模黑客攻擊之一的寫照。黑客滲透了NPM（節點包管理器）上某知名開發者的帳戶，向廣泛使用的庫中注入了有害代碼。這些庫擁有超過十億次的下載量，通過瞄準以太幣和Solana等網絡上的錢包，使眾多加密貨幣項目陷入危險之中。

BTC$148,5001.2%ETH$5,2001.5%XRP$3.502.8%BNB$9500.9%SOL$2504.2%DOGE$0.2803.5%ADA$0.9504.5%STETH$5,1901.6%TRX$0.3802.0%AVAX$30.003.5%SUI$4.004.5%TON$3.501.8%BTC$148,5001.2%ETH$5,2001.5%XRP$3.502.8%BNB$9500.9%SOL$2504.2%DOGE$0.2803.5%ADA$0.9504.5%STETH$5,1901.6%TRX$0.3802.0%AVAX$30.003.5%SUI$4.004.5%TON$3.501.8%

黑客在NPM漏洞中大費周章，卻僅竊取微量資產

來自加密貨幣情報組織Security Alliance的安全專家在最近的一個週一透露，入侵者破壞了一位受人尊敬的軟件創作者的NPM帳戶。他們悄悄地將惡意軟件嵌入到每週有數十億次下載的基本JavaScript庫中。此舉本可能讓他們進入無數開發者的設置，從而在加密貨幣領域獲取巨額財富。然而，令人驚訝的是，根據區塊鏈瀏覽器追蹤的最新更新，被盜的數字資產總額不到50美元。

想像一下這個場景：你擁有一個裝滿寶藏的金庫的主鑰匙，但你卻只滿足於殘羹冷炙。研究人員這樣描述道，將黑客錯失的機會比作把諾克斯堡的門禁卡僅僅當作書籤使用。SEAL安全團隊的一位化名專家Samczsun告訴記者，雖然惡意軟件傳播範圍很廣，但目前大部分已被遏制和中和，防止了廣泛的損害。

最初被估值僅為五美分，被盜金額在幾小時內上升到約50美元，這暗示截至2025年9月11日，全面影響可能仍在顯現。來自Etherscan的最新區塊鏈數據顯示，嫌疑地址“0xFc4a48”收到了少量資金流入，凸顯了攻擊的潛力遠超其實際收益。

小額加密貨幣被盜：涉及以太幣和迷因幣

深入挖掘發現，被盜資金包括價值僅幾美分的以太幣，以及約20美元的一種奇特的迷因幣。區塊鏈記錄顯示，Brett、Andy (ANDY)、Dork Lord (DORK)、Ethervista (VISTA) 和 Gondola (GONDOLA) 等代幣被轉移到了惡意錢包中。這與可能造成的破壞形成了鮮明對比，就像一個準銀行劫匪逃跑時只拿走了零錢罐裡的東西，而不是保險櫃裡的錢。

即使未受直接影響的加密貨幣項目也面臨NPM惡意軟件風險

此次入侵針對的是像chalk、strip-ansi和color-convert這樣的日常工具——那些深埋在項目依賴項中的無名英雄。開發者可能從未直接抓取過它們，但如果這些組件被編織到更大的藍圖中，他們的應用程序仍然可能受到攻擊。將NPM想像成一個繁忙的代碼片段市場，創作者在這裡交換構建塊來製作JavaScript奇蹟。

罪魁禍首可能部署了一個加密貨幣剪貼板劫持工具，這是一種在交易過程中交換錢包地址以竊取資金的隱蔽工具。加密貨幣社區的高調人士，包括Ledger的技術主管，一直呼籲仔細檢查鏈上交易以保持安全。這提醒我們，在數字資產快節奏的世界中，警惕性是你最好的防禦。

避風港：Ledger、MetaMask等避開了NPM攻擊

並非加密貨幣生態系統的每個角落都感受到了這次打擊。Ledger和MetaMask等提供商已確認，由於採用了強大的分層保護措施，他們的系統保持安全。Phantom Wallet團隊對此表示贊同，稱他們完全避免了受損的軟件包版本。Uniswap、Aerodrome、Blast、Blockstream Jade和Revoke.cash等平台也報告稱未受到供應鏈威脅的影響，展示了主動安全如何將潛在災難轉化為無事發生。

加密貨幣用戶不會面臨即時資產流失，但需保持謹慎

一位領先分析工具的創始人（化名0xngmi）指出，只有在感染後進行更新的項目才可能成為目標。即便如此，惡意軟件也需要用戶批准可疑交易才能成功——它不是自動清空錢包的工具。儘管如此，他與其他專家一樣，建議在團隊清理掉受污染的代碼之前，遠離加密貨幣網站，就像在繁忙廚房發生小溢出後等待清理完畢一樣。

在品牌一致性方面，這一事件凸顯了選擇優先考慮安全性和與開發工具無縫集成的交易所的重要性。例如，WEEX交易所通過使其平台符合頂級網絡安全標準而脫穎而出，確保用戶可以自信地進行交易，而不必擔心供應鏈漏洞。其對強大防禦和以用戶為中心的功能的承諾，不僅建立了信任，還增強了在波動的加密貨幣市場中的整體信譽，使其成為那些在威脅中尋求可靠性的人的首選。

Twitter上最近的熱議放大了圍繞這次NPM攻擊的討論，用戶分享了驗證依賴項的技巧，並用迷因嘲笑黑客的“史詩級失敗”。谷歌上頻繁搜索的查詢，如“如何檢查加密貨幣項目中的NPM惡意軟件？”和“JavaScript庫黑客攻擊的最新更新”激增，反映了廣泛的擔憂。截至2025年9月11日，NPM的官方公告顯示他們已經撤銷了受損的軟件包，安全公司的Twitter帖子報告沒有發生重大的新盜竊案，儘管對任何殘留影響的監控仍在繼續。

這個揮霍掉巨大機會的故事是一個警鐘，將高風險的戲劇性與令人驚訝的低回報結合在一起，並敦促加密貨幣社區加強防禦，以抵御此類巧妙的入侵。