大规模软件供应链黑客攻击加密货币，导致数以千计的资金被盗

  一名不知名的黑客发动了可能是有史以来最大规模的软件供应链攻击，但所获的利润仍低于许多 memecoin 的价格。

  9 月 8 日星期一，一名黑客闯入了知名 开发人员“qix”的账户，并向数十种广泛使用的网站和应用程序构建软件工具推送了恶意更新，这些软件工具每周的下载量超过 20 亿次。

  获得访问权限后，黑客在开发人员的所有软件包中添加了恶意代码，这些代码并非传统意义上的病毒，但仍旨在从浏览器中的用户加密钱包中窃取加密货币。

  这次攻击立即引起了混乱，因为开发人员更新通常会被自动信任，因此当新版本发布时，许多项目和应用程序都会在未经检查的情况下接受它们，从而使黑客的代码迅速传播。

  合规与威胁管理平台 Nominis 的创始人兼首席执行官 Snir Levi 告诉 The Defiant，现代软件供应链“高度互联”，一个被入侵的 npm 帐户可以在几分钟内影响数千个项目和企业，因为代码重用是“整个生态系统的支柱”。Npm 是 软件包的注册表。

  “风险不仅仅是技术层面的——关键依赖项中的恶意软件可能会影响数百万用户，转移数十亿美元的资金，并破坏行业诚信的信任。此次事件凸显了安全不仅仅是保护基础设施；而是保护庞大而无形的信任网络中的每一个环节，”Levi 解释道。

  恶意代码主要针对以太坊 和 索拉纳安全联盟在攻击后写道，创建该账户是为了将目标地址交换到黑客的钱包博客文章 周一。

  网络安全专家表示，该代码还试图用相似的地址重写网络流量中的加密地址。

“世代失误”

  虽然从理论上讲，这次攻击是灾难性的，但就实际损失而言，安全联盟表示，黑客只赚了价值约 0.05 美元的以太坊以及价值 20 美元的 memecoin。

  安全联盟表示：“尽管此次攻击规模巨大，但攻击者似乎只‘窃取’了约 5 美分的 ETH 和 20 美元的 memecoin，而过去 24 小时内的交易量高达 588 美元。”

  对此次袭击事件的评论在 X 帖子中匿名白帽黑客、安全联盟创始人 samczsun 将此事件描述为“一代人的失误，我们可能永远不会再看到这样的失误”。

  数字资产恢复公司 Circuit 的首席执行官 Harry Donnelly 在 The Defiant 的评论中表示，这次攻击远不是最后一次，因为“加密供应链中存在许多依赖关系和漏洞”。

  这次攻击就是一个例子，说明像开发人员安装的开源软件包这样小的东西，也能构成意想不到的攻击媒介。即使有效载荷被替换，制定应对恶意活动的措施对于防止资金被盗也至关重要。Donnelly 补充道。