駭客入侵 NPM 套件釋惡意碼　數百萬加密貨幣用戶資產面臨風險

根據多份資安報告指出，駭客近期發動了一起大規模的供應鏈攻擊，在數百萬個應用程式使用的 JavaScript 套件庫中植入惡意程式碼，對全球加密貨幣用戶資產造成前所未有的威脅。

根據美國多份資安報告顯示，於 24 日（當地時間），攻擊者成功入侵 JavaScript 生態系統中核心平台「Node 套件管理器（NPM）」的開發者帳號，隨後透過該帳號，將惡意程式碼植入若干熱門函式庫中。這些套件已被數百萬個網站與應用廣泛使用，下載量達數十億次，攻擊規模堪稱有史以來最大。

惡意程式的主要功能是竊取或更換使用者的加密貨幣錢包地址，透過一種稱為「錢包地址置換（wallet address swapping）」的方式行騙。攻擊者可實時攔截轉帳請求，將使用者原本輸入的接收地址替換為駭客控制的錢包地址，使資金轉入對方帳戶。

目前遭波及的 JavaScript 套件疑似已潛藏於網路服務與行動應用中多年，有可能早已悄然感染無數平台，進而導致使用者私鑰外洩及資產損失的風險升高。資安專家提醒，這不只是單純的套件污染，而是針對加密資產竊取目的進行的高度精密供應鏈攻擊。

評論：此次事件凸顯了加密產業中程式碼供應鏈的高度脆弱性，特別是依賴開源套件的開發生態，在缺乏充分驗證與審查的情況下，極易成為駭客操控的溫床。

NPM 團隊目前已對相關惡意套件進行封鎖處理，並積極追查攻擊途徑，同步展開生態系統安全性掃描與更新。開發者與加密貨幣使用者也被建議重新檢查近期安裝的套件，並追蹤近期期任何一次加密轉帳紀錄，避免資產進一步流失。