休息下,找个电影看看睡觉吧?

Web3

注意 Web3 钱包遭遇 NPM 超大规模供应链攻击投毒事件

2025年09月09日 11:10:18 · 本文共 976 字阅读时间约 3分钟 · 114 次浏览
注意 Web3 钱包遭遇 NPM 超大规模供应链攻击投毒事件

从 UTC 9月8日 13:16 开始,一系列推送到 npm 的软件包似乎包含恶意代码,攻击非常有针对性,主要针对 web3 相关用户的大规模攻击。

请各位关注此事件,保护自己,我无法为各位提供解决办法。

该恶意代码会劫持浏览器钱包(如 MetaMask )和网络请求( fetch 和 XMLHttpRequest ),拦截 ETH 、BTC 、SOL 、TRX 等加密货币交易,通过替换目标地址将资金转移至攻击者钱包(如 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976 )

重大供应链攻击

著名开发者 qix 的 NPM 帐户遭到入侵,导致数十个软件包的恶意版本被发布,包括chalk、strip-ansi和color-convert。

攻击动作

代码首先检查是否存在(window.ethereum该对象由 MetaMask 等钱包扩展程序注入),则继续进行被动地址替换攻击。

被动地址替换

恶意脚本包含攻击者拥有的比特币 (BTC)、以太坊 (ETH)、Solana (SOL)、波场 (TRX)、莱特币 (LTC) 和比特币现金 (BCH)钱包地址,恶意代码采用了一种名为Levenshtein距离算法的复杂技术,该算法测量两个字符串之间的视觉相似度,会从列表中选一个跟目标地址更像的地址。

然后替换浏览器页面中显示的地址,当用户复制地址以后,其实复制的是攻击者的钱包地址。

主动交易劫持

如果检测到钱包,恶意软件就会启动其最危险的组件。

当用户发起交易时,恶意软件会在数据发送到钱包进行签名之前拦截数据。然后,它会修改内存中的交易,将收款人的地址替换为攻击者的钱包地址。

追踪被盗资金

由于区块链透明,我们可以监控这些欺诈性地址。以下是此次攻击中使用的主要以太坊地址之一。您可以在 Etherscan 上实时查看其活动。

攻击者的以太坊地址之一: 0xFc4a4858bafef54D1b1d7697bfb5c52F4c166976

请参阅此 GitHub Gist以获取所有钱包的列表:https://gist.github.com/jdstaerk/f845fbc1babad2b2c5af93916dd7e9fb

总结

本次攻击目标是代码维护者,从而导致整个代码库被投毒,导致全部用户被影响,作为普通用户的我们似乎无力抵抗。

保护自己

虽然部分受影响的版本目前已从 npm 中移除,但仍有一些版本可用。

每次交易一定要仔细核对钱包地址。

大额转账前先小额尝试,然后也要仔细核对地址以后再大额转账。

参考链接

商业用途请联系作者获得授权。
版权声明:本文为博主「任霏」原创文章,遵循 CC BY-NC-SA 4.0 版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.renfei.net/posts/1626402130325676134
评论与留言

以下内容均由网友提交发布,版权与真实性无法查证,请自行辨别。

微信搜一搜:任霏博客
打赏
  • BTC bc1qeu98cm8u2uretll42p72js6jlmk5pvw3a493s2
  • ETH 0x5DeF3FD2eC2707ee02CCc6022e9f39361B367525
  • ApqJpFXgNnW4Cw8f8fh5sDaz1fYjqiYmWmERaAZTPM7r
  • Donate QR Code