🚨 NPM供应链攻击：高度复杂的网络钓鱼险些引发更大灾难

2025年9月9日，NPM包生态系统遭遇了一次高度复杂的供应链攻击，险些酿成重大灾难。攻击者通过一封被评为“10/10”级的网络钓鱼邮件，诱骗用户提供双因素认证凭据，从而入侵了多个流行且广泛使用的软件包，包括文本格式和颜色名称库等。

幸运的是，此次攻击的恶意软件仅修改了通过MetaMask等在线钱包进行的加密货币支付目标地址。文章指出，这实际上是“躲过了一劫”，因为攻击者未能充分利用其复杂的入侵链，恶意代码在大多数受影响的命令行工具中无法运行，从而避免了更严重的后果，如大规模API密钥（如OpenAI、AWS）窃取。此次事件凸显了所有依赖项都可能存在恶意风险，以及理解软件依赖树的紧迫性。

(HackerNews)

via 茶馆 - Telegram Channel