- 网络安全研究人员发现了三个恶意比特币 npm 包，旨在安装名为 NodeCordRAT 的恶意软件。
- NodeCordRAT 能够窃取 Google Chrome 凭据、存储在 .env 文件中的 API 令牌以及 MetaMask 加密货币钱包数据（如私钥和助记词）。
- 这些恶意节点在被于 2025 年 11 月从 npm 注册表中移除前，累计下载量超过 3,400 次。
Zscaler ThreatLabz的研究人员发现了三个旨在植入名为NodeCordRAT的恶意软件的恶意比特币npm软件包。据报道，它们在从npm注册表中下架之前，总共获得了超过3400次下载。
这些软件包包括bitcoin-main-lib、bitcoin-lib-js和bip40，分别获得了2300、193和970次下载。通过复制真实比特币组件的名称和详细信息，攻击者使这些仿冒模块乍一看显得无害。
“bitcoin-main-lib和bitcoin-lib-js软件包在安装期间执行postinstall.cjs脚本，该脚本会安装包含恶意负载的bip40软件包，”Zscaler ThreatLabz研究人员Satyam Singh和Lakhan Parashar表示。“这个最终的恶意负载，被ThreatLabz命名为NodeCordRAT，是一种具有数据窃取能力的远程访问木马（RAT）。
NodeCordRAT具备窃取Google Chrome凭据的能力
Zscaler ThreatLabz分析师在11月扫描npm注册表以查找可疑软件包和异常下载模式时发现了这组软件包。NodeCordRAT代表了一个新的恶意软件家族，它利用Discord服务器进行命令与控制（C2）通信。
NodeCordRAT旨在窃取Google Chrome登录信息、保存在.env文件中的API代码以及MetaMask钱包数据（如私钥和助记词）。发布所有三个恶意软件包的人使用的电子邮件地址是[email protected]。
攻击链始于开发人员无意中从npm安装bitcoin-main-lib或bitcoin-lib-js。然后它识别bip40软件包的路径，并使用PM2以分离模式启动它。
该恶意软件使用platform-uuid格式（例如win32-c5a3f1b4）为受感染的机器生成唯一标识符。它通过执行wmic csproduct get UUID等命令在Windows系统上提取系统UUID，或在Linux系统上读取/etc/machine-id来实现这一点。
导致加密资产被盗的恶意节点软件包
Trust Wallet表示，近850万美元的被盗资产与“Sha1-Hulud NPM”对npm生态系统供应链的攻击有关。超过2500个钱包受到影响。
黑客使用被入侵的npm作为NodeCordRAT风格的木马和供应链恶意软件。它被集成到客户端代码中，当用户访问其钱包时窃取资金。
2025年其他落入与NodeCordRAT风格威胁相似的两个类别的例子包括Force Bridge漏洞，该漏洞发生在2025年5月至6月期间。攻击者窃取了验证者节点用于授权跨链提款的软件或私钥。这使得节点变成了可以批准欺诈性交易的恶意行为者。
此次漏洞导致估计有360万美元的被盗资产，包括ETH、USDC、USDT和其他代币。它还迫使该桥停止运营并进行审计。
9月，Shibarium桥遭受攻击，攻击者在短时间内控制了大部分验证者权力。正如Cryptopolitan所揭露的，这使他们能够充当恶意验证节点，签署非法提款，并窃取约280万美元的SHIB、ETH和BONE代币。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
