Ledger 供應鏈攻擊：爲什麼這次 NPM 違規可能是加密貨幣最黑暗的一天

Ledger剛剛發布了一個重磅消息：檢測到NPM供應鏈被攻破。但大家都忽視了一點——這不僅僅是關於一家硬體錢包公司的問題。這關乎數十億資金所依賴的整個基礎設施。

發生了什麼

在9月8日，Ledger發現流行的NPM包中注入了惡意代碼。翻譯：爲錢包交互、DeFi協議和交易所基礎設施提供動力的JavaScript庫被污染。Ledger立即告訴用戶停止所有鏈上交易，直到情況變得明確。

爲什麼？因爲如果攻擊者在被發現之前破壞了這些庫，他們可能會：

• 在交易過程中攔截私鑰
• 創建了用於資金盜竊的後門
• 靜默操控交易數據

這並不新鮮，但很可怕

供應鏈攻擊以前曾發生過——SolarWinds 影響了 18,000 個美國政府機構。但 SolarWinds 並不持有人們的加密貨幣。Ledger 卻持有：數十億的數字資產。

可怕的是？使用那些受感染的 NPM 包的開發者可能甚至不知道他們已被攻陷。惡意代碼可能處於休眠狀態，等待稍後激活。

真正的問題

硬體錢包本應是不可被黑客攻擊的——密鑰離線存儲。但你的設備與區塊鏈之間的軟件橋接？那是在線的。那是脆弱的。這次攻擊發生在這裏。

Ledger正在與網路安全專家合作以控制局勢。目前尚未報告確認的損失。但他們建議暫停所有交易的事實表明威脅級別是關鍵。

這意味着什麼

對於用戶： 即使是最大的名字也不絕對可靠。你的安全鏈條的強度取決於最弱的環節——而現在，尚不清楚那個環節是在哪裏斷裂的。

對於生態系統： 這證明了去中心化的雙刃劍。擺脫銀行 = 如果不正確保護就會遭受損失的自由。

對於開發者： 審計一切。第三方依賴可能會致命。