大规模 npm 供应链泄露将浏览器加密窃取器注入 18 个软件包

关键更新

在 2025 年 9 月 8 日，攻击者钓鱼了一个高产维护者（Qix / Josh Junon）的 npm 账户，并在 18 个软件包中发布了恶意版本，这些软件包的每周下载量总计达数十亿；注入的代码在浏览器中执行，以拦截钱包/网络 API 并重写加密货币接收者，从而将资金转移到攻击者控制的地址。（pt.aikido.dev）

重要性

这不是一个理论上的代码库泄露：这些软件包（chalk、debug、ansi‑styles 和几个小但高度传递的工具）位于庞大的依赖关系图中，并且常常被打包到前端构建中。有效载荷仅在浏览器上下文中运行，因此运行 Node.js 的服务器并未直接执行恶意逻辑，但任何包含被特洛伊木马版本并交付前端资产的构建都可能在短暂的生存窗口中暴露最终用户的加密流。社区和注册中心采取的遏制措施迅速删除了这些版本，但修复过程在操作上非常痛苦：团队必须固定并重建工件，清除缓存和 CDN，验证锁定文件和部署工件，并将其视为实时供应链事件进行事件响应和事后分析工作。（pt.aikido.dev）

来源

• 来源