GitHub 和 Grafana 安全事件很可能與大規模“迷你沙蟲”供應鏈攻擊相關
By: www.chaincatcher.com|2026/05/20 20:45:06
0
分享
設為Google首選來源
ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。
GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。
慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。
-- 價格
--
--
--
本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。
猜你喜歡
蘋果將發布新款 Mac mini，缺貨潮持續
75.7% 評價者偏好 GPT-直播1
OpenAI 將用戶的語音同時處理並回應的全雙工語音模型 GPT-直播（GPT-Live）商業化。在人類評估中，75.7% 的參與者偏好 GPT-Live-1。
全球記憶體短缺影響蘋果的MacBook Air
巴西成為中國汽車進口的領導者，增長達147%
這一增長主要是由於在電動車關稅上升之前提前發貨。該國超越了俄羅斯和比利時，亞洲品牌的存在不斷增強，實際價格也在下降。
模型微調後 Qwen 自稱 Claude 比例升至 40.3%
Token 殺死了 AI 應用
摩根大通解讀：Token和H100同步降價，AI成本開始降溫？
Bitget UEX 日報｜科技巨頭財報亮眼但加速燒錢引市場分歧；美伊互放狠話推升油價與加息預期；黃金白銀走強 (26 年 07 月 23 日)
Bitget UEX 日報｜美聯儲鷹派警告通脹風險；納指大跌存儲板塊領跌；中東局勢推升油價 (2026 年 07 月 17 日)
BMW 銷售下降 4.9%，中國客戶流失 30%
Grafana：調查發現近期的安全事件未影響客戶生產系統和運營
ChainCatcher 消息，開源數據可視化工具 Grafana 發布對 5 月 16 日的安全事件調查的最新進展，調查發現，此次事件僅限於 Grafana Labs 的 GitHub 環境，包括公開和私有源代碼以及內部 GitHub 倉庫，並未影響客戶生產系統、運營或 Grafana Cloud 平台。下載的內容除源代碼外，還包含部分團隊用於協作和存儲內部運營信息及業務細節的倉庫，涉及業務聯繫姓名和郵箱地址，而非來自生產系統或雲平台的數據。Grafana Labs 明確表示代碼庫被下載但未被篡改，目前客戶和開源用戶無需採取任何行動。該事件源於通過 Mini Shai-Hulud 運動進行的...
Gemini 3.5來了！今夜，谷歌親手淘汰谷歌
劈柴和Hassabis把半年大招一晚清倉了！Gemini Omni任意輸入生成視頻，3.5 Flash斷層碾壓一切，Spark 7×24h雲端替你幹活。這次，谷歌是要把OpenAI和Anthropic一起給埋了。
熊市了，加密 ETF 發行商也捲起來了
今日 MSBT 的上市，是這場重組最新的標誌性節點，機構的湧入正在加速使加密貨幣獲得傳統金融的擁抱，卻也在稀釋原生市場的流動性。
美國股指期貨延續跌勢，標普 500 下跌 0.5%
ChainCatcher 消息，据金十報導，美國股指期貨延續跌勢，標普 500 指數 E-mini 期貨下跌 0.5%，納斯達克 100 指數期貨和道瓊斯指數期貨均下跌 0.6%
灰度以太坊迷你信託質押 5.76 萬枚 ETH，價值約 1.216 億美元
ChainCatcher 消息，据 Lookonchain 監測，灰度旗下 Ethereum Mini Trust 質押 57,600 枚 ETH，價值約 1.216 億美元。
挖掘人工智慧：為什麼比特幣礦工改變商業模式
挖掘人工智慧——聽起來像是一種隱喻，但對於最大的比特幣礦工來說，這已經成為一種實際的商業策略。多年來專注於加密貨幣的公司，現在越來越多地將數據中心轉向人工智慧、機器學習和高效能計算。我們來探討一下，為什麼挖礦不再是唯一的收入來源，哈希率發生了什麼變化，以及這種重組對比特幣網絡的危險性有多大…
KYC 之下「與信」是否成立？從現有金融探討加密貨幣的防守範圍（「原來如此區塊鏈 Ep.14」內田善彦・酒井勇也・大津賀新也）
糧價還沒起飛，化肥為何先漲了？
金融監理機構預算創歷史新高，強化對加密資產及AI監控的重視
CFTC 與美國士兵就 40 萬美元 Polymarket 賭注發生衝突
CFTC正在考慮GPU計算的永續期貨的可行性【最新動向指南】
CFTC正在徵集有關「永續計算期貨」的意見，提交截止日期為2026年10月20日。請務必參與官方頁面。
美國財政部：可能動用9500億美元的儲備以平息市場
美國財政部考慮使用其9500億美元的一部分來擴大長期債務的回購。
比特幣再次在社交媒體上被「埋葬」：這對匯率意味著什麼
比特幣再次成為悲觀情緒的中心：分析平台Santiment記錄到在X、Reddit和Telegram上有關第一種加密貨幣的負面消息急劇增加。在討論中，越來越多出現「死」、「正在死」、「結束」和「一切結束」等措辭——dead, dying, over, ended, ending, finished。根據專家的評估，這種言辭顯示出散戶投資者的疲憊：在疲弱的市場背景下，他們開始將暫時的下跌視為最終的失敗。
他們以為自己在與蘋果對話：19.5萬美元的加密貨幣在新加坡消失
在新加坡，一個假冒的蘋果客服竊取了19.5萬美元的加密貨幣：被困的彈出窗口、來自"+1"的電話和從受害者那裡提取的OTP代碼。
美債回購能救市場？Hayes三種情境預判BTC走勢
俄羅斯的加密貨幣服務廣告：現在允許什麼，還有什麼仍然被禁止
俄羅斯的加密貨幣服務廣告首次獲得合法窗口：新法允許推廣持牌市場參與者的服務，但不允許將加密貨幣作為投資資產進行廣告。Right Side 的總經理瑪莉安娜·科馬羅夫斯卡表示。加密廣告在俄羅斯長期以來幾乎是一個封閉的話題。以前的做法極其嚴格：數字貨幣本身及其交易相關的服務均被禁止。
以太坊提案將減少33,800 ETH的發行量並使每個已部署的Altair輕客戶端失效
EIP-8390提議鏈下ZK最終性證明，但未定義替代API或證明者激勵，且未提供可重複的GPU基準。
[SCAN 2026 決賽訪談] ⑬ BITSkrieg：印度工科生的 SCAN2026 獲勝挑戰
全球首個虛擬資產（數位資產）追蹤大賽「SCAN 2026」決賽將於 9 月 28 日上午 9 時在首爾瑞草區的摩納哥空間舉行。為了提升數位資產的網路安全和調查能力而設立的 SCAN 2026 由數位資產資訊公司 D.A. 主辦，全球區塊鏈數據平台 Chainalysis 作為 CTF（Capture The Flag）合作夥伴參與。SCAN 2026 決賽將有來自預賽（共 416 隊，754 人）前 20 名的隊伍參加。
ZEC賽道的新項目，Vitalik兩年內的唯一一次買幣
