Ledger首席技术官Charles Guillemet：避免加密货币交易，供应链攻击已发现

研究人员发现，一种影响范围广泛的供应链攻击可能 trac加密钱包中的数据，并窃取所有区块链上的资产。他们宣布，一个大型可信账户的 npm 库已被攻破。. 

一种广泛存在的 npm 供应链攻击可能正针对最常用加密钱包的用户。Ledger 首席技术官 Charles Guillemet 警告用户，应避免使用常见的基于浏览器或桌面的钱包进行加密交易，并务必谨慎地使用硬件钱包进行交易。. 

🚨 一场大规模供应链攻击正在进行中：一位知名开发者的 NPM 账户已被盗用。受影响的软件包已被下载超过 10 亿次，这意味着整个 JavaScript 生态系统可能面临风险。.

恶意载荷有效……

— 查尔斯·吉列梅 (@P3b7_) 2025 年 9 月 8 日

研究人员发现，一个受信任的 JavaScript npm 账户 正在传播带有恶意代码的软件包，这些代码能够 trac甚至拦截加密货币交易。攻击发生后不久，该账户的维护者 发出 警告，称受影响的软件包大多仍处于被入侵状态，尚未被安全版本替换。

npm 维护者的账户仍未恢复，很可能是通过社交工程和伪造的双因素认证流程被盗的。GitHub 用户报告收到了一封 邮件 来自 npmjs 支持团队的 

此次事件被认为是历史上规模最大的npm供应链攻击。如果这些邮件能够窃取其他供应商的账户，则可能有更多的供应商受到影响。.

大规模供应链攻击的目标是软件加密钱包

过去一周， Cryptopolitan 报道 了两个包裹被入侵，导致 Ethereum。 

此次攻击规模更大，共影响了 18 个非常流行的 npm 包，过去一周的下载量高达 20 亿次。目前尚不清楚有多少包已经扩散​​到整个 JavaScript 生态系统中。. 

供应链攻击被认为是加密货币领域最大的威胁之一，即使用户看似签署了正确的交易，也可能随时改变资金的去向。. 

我tron建议您现在不要签署任何加密货币交易。.

针对流行的 NPM 包的大规模供应链攻击可能已经危及多个加密货币网站（前端，而非实际trac）。.

它会更改交易的收款地址，并且……

— cygaar (@0xCygaar) 2025年9月8日

最大的威胁依然针对软件钱包用户，据报道，MetaMask、Trust Wallet、Exodus 等钱包均受到影响。所有相关的 npm 包已被禁用，但开发者必须返回代码中手动停止使用这些存在缺陷的包。. 

攻击发生数小时后， Axiom 和 Jupiter DEX 确认他们未使用任何存在缺陷的 npm 包，交易可以继续进行。Kamino 也报告称，他们没有部署任何存在缺陷的代码。

用户被敦促在开发者批准之前避免签署交易。

目前来看，攻击者直接窃取私钥的可能性不大，因为这会暴露钱包安全方面更大的问题。目前，除非用户发送或签署交易，否则其钱包是安全的。. 

地址交换发生在签名之前，因为攻击者使用 外观相似的 目标钱包地址。这些地址看起来几乎一模一样，因此在签名之前需要逐字逐句地仔细核对。通常，加密货币用户只会检查地址的前四位和后四位，这使得他们很容易受到地址交换攻击。 

然而，其中也存在智能trac和自动交易。建议终端用户锁定并禁用所有浏览器钱包，并避免签署交易。此外，该消息并未打破周一的加密货币涨势。链上侦探也未发出任何关于个别钱包出现重大或异常损失的警告。.

此次攻击可能影响Web3和 DeFi 的屏幕截图 钱包，其中一些钱包目前仍为空。