Ledger CTO披露npm供应链攻击事件：钓鱼邮件植入恶意代码，区块链交易遭劫持

2025-09-09 18:51:55 17

Ledger首席技术官Charles Guillemet 9月9日披露npm供应链攻击事件细节：攻击者通过伪造npm支持域名发送钓鱼邮件获取用户凭证，随后发布植入恶意代码的软件包更新。该恶意代码针对网页加密操作，劫持以太坊、Solana等区块链交易并在响应数据中篡改钱包地址。因攻击者操作失误导致CI/CD流程异常中断，攻击在造成大规模损失前被阻断。官方强调此次事件暴露软件钱包及交易所资产易受单次代码执行攻击的风险，同时警示供应链漏洞仍是恶意软件传播主渠道，定向攻击频次持续上升。值得注意的是，开发者qix证实遭遇同类钓鱼攻击，多个热门npm包已被植入恶意代码。