攻击者劫持了 npm 维护者帐户，窃取了加密密钥

经过

阅读时长：2分钟 16秒前

据 SlowMist 报道，5 月 14 日，三个被植入恶意代码的 node-ipc 版本上线 npm 注册表。 攻击者劫持了一个不常用的维护者账户，并推送了旨在窃取开发者dent、私钥、交换 API 密钥等所有信息的恶意代码，这些代码直接来自 .env 文件。

node-ipc 是一个流行的 Node.js 包，它允许不同的程序在同一台机器上相互通信，有时也可以通过网络进行通信。.

区块链安全公司 SlowMist 通过其 MistEye 威胁情报系统发现了此次安全漏洞。.

版本 9.1.6、9.2.3 和 12.0.1

MistEye 发现了三个恶意版本，其中包括：

以上所有版本都携带了相同的混淆后的 80 KB 有效载荷。.

Node-ipc 负责 Node.js 中的进程间通信。它主要帮助 Node.js 程序之间互发消息。每周有超过 82.2 万用户下载它。.

Node-ipc 在加密领域被广泛使用。它被用于开发者构建 dApp 的系统matic（CI/CD）中，也被用于日常的开发者工具中。

每个受感染的版本都被植入了相同的隐藏恶意代码。一旦任何程序加载了 node-ipc，该代码就会matic运行。.

StepSecurity 的研究人员弄清了此次攻击是如何发生的。node-ipc 的原始开发者曾使用过一个与 atlantis-software[.]net 域名关联的电子邮件地址。然而，该域名已于 2025 年 1 月 10 日过期。.

2026年5月7日，攻击者通过Namecheap购买了同一个域名，从而控制了开发者的旧邮箱。之后，他们只需在npm上点击“忘记密码”，重置密码，就能轻松获得发布node-ipc新版本的全部权限。.

真正的开发者对这一切毫不知情。恶意版本在被移除前存活了大约两个小时。.

嵌入式有效载荷会搜寻超过 90 种类型的开发者和云dent。AWS 令牌、Google Cloud 和 Azure 密钥、SSH 密钥、Kubernetes 配置、GitHub CLI 令牌等等，都在搜寻之列。.

对于加密货币开发者而言，这种恶意软件专门攻击 .env 文件。这些文件通常包含私钥、RPC 节点凭据dent交换 API 密钥。

为了偷偷窃取的数据，攻击者利用了DNS隧道技术。它将文件隐藏在看似正常的互联网查询请求中。大多数网络安全工具都无法检测到这种攻击。.

安全团队表示，任何在两小时窗口期内运行过 npm install 或自动更新过依赖项的项目都应该假定自身已受到攻击。

根据SlowMist的指导，立即采取以下措施：

2026年，针对npm的供应链攻击已成为常态。加密货币项目受到的打击比大多数项目都大，因为被盗的登录信息可以迅速转化为被盗资金。.

最顶尖的加密货币专家都在阅读我们的简报。想加入他们？

常见问题解答

版本 9.1.6、9.2.3 和 12.0.1。SlowMist 和 StepSecurity 都检测到了这些漏洞。这三个版本都包含相同的混淆有效载荷，会在软件包加载后立即运行。.

原维护者的电子邮件域名 atlantis-software[.]net 于 2025 年 1 月 10 日过期。攻击者于 2026 年 5 月 7 日通过 Namecheap 重新注册了该域名，然后利用 npm 的密码重置流程获取了该帐户。.

超过 90 种dent类型。AWS 令牌、Google Cloud 和 Azuredent、SSH 密钥、Kubernetes 配置、GitHub CLI 令牌、shell 历史记录文件和 .env 文件，这些文件通常包含加密私钥和交换 API 密钥。.

分享这篇文章

兰达·摩西

兰达是一位专攻科技领域的作家和编辑。她毕业于布拉德福德大学，获得电气与tron工程学位。她曾就职于 Forward Protocol、Amazix 和 Cryptosomniac。.

分享这篇文章

更多…新闻

深度密码
学速成课程