讨论串NPM 套件 debug 與 chalk 遭竄改入侵 （★ 114 分）

NPM 套件 debug 與 chalk 遭竄改入侵 （★ 114 分） Aikido Security 在 2025 年 9 月 8 日發現 npm 上多達 18 個極高下載量的套件遭竄改，其中包含廣泛使用的 `chalk`、`debug`、`ansi-styles` 等。這些套件的新版本被插入一段混淆的惡意程式碼，會在瀏覽器端執行，攔截並竄改使用者的加密貨幣及 web3 相關交易。攻擊方式會偷偷修改錢包操作與付款地址，讓資金流入攻擊者帳戶，而使用者在畫面上仍看到正確的資訊，幾乎無從察覺。這段惡意程式碼甚至會掛鉤核心網頁 API，例如 `fetch`、`XMLHttpRequest` 及 `window.ethereum` 等，加上替換收款位址時使用「相似字串」技術，讓判斷更加困難。 整個攻擊運作模式相當縝密，分為五步驟：首先透過套件植入在瀏覽器中攔截網路請求與錢包操作，再監控各種格式的錢包地址與轉帳資料，接著替換目的地給攻擊者控制的位址，甚至在使用者簽署交易前就已竄改內容。為了降低懷疑，它會保留 UI 呈現的正常樣貌，實際傳送的交易卻已被竄改。這意味著即便使用者看見的介面毫無異常，後端交易也可能在不知情的情況下被劫持。 維護者在社群平台 Bluesky 回應已意識帳號遭到入侵，並確認是因收到來自 `[email protected]` 的網路釣魚郵件而受害。這封郵件偽裝成「2FA 驗證更新通知」，內容逼真且使用近似官方的域名，導致維護者誤點連結登入而洩露憑證。事後 Aikido Security 及維護者隨即展開清理，受影響的版本（如 `[email protected]`、`[email protected]`、`[email protected]` 等）目前都已被撤下。 在 Hacker News 的討論中，許多開發者同情維護者遭遇，指出這種攻擊任何人都有可能中招，特別是在疲倦或倉促情況下。有人提醒若收到安全相關郵件應避免直接點連結，而是手動到官網操作，並使用密碼管理工具來降低釣魚風險。討論中也有人批評 npm 生態系過度依賴小型模組，像是 `is-arrayish`、`color-string` 這類微小功能都透過外部套件來實作，增加供應鏈攻擊面。其他人則建議 npm 應實作「延遲安裝」機制，避免開發者立刻拉取剛發布的新版本，可以降低遭遇惡意更新的風險。 不少評論也將焦點放在更廣泛的供應鏈安全議題：這類瀏覽器端惡意碼不只會竊取加密貨幣，也可能針對其他敏感資訊，例如認證資訊或私密資料。有人提出瀏覽器或加密交易所應在處理交易前額外顯示目的地址確認，以避免被惡意碼竄改；也有人強調應該使用硬體錢包（hardware wallet）來保護資產，減少透過瀏覽器簽署交易的風險。整體來說，這次事件再次凸顯網路供應鏈攻擊的嚴重性與日益頻繁，呼籲開發者與平台必須提高安全標準，否則僅靠個人習慣很難徹底防堵未來潛在的攻擊。 👥 28 則討論、評論 💬 https://news.ycombinator.com/item?id=45169657