Ledger 供应链攻击：为什么这次 NPM 违规可能是加密货币最黑暗的一天

Ledger刚刚发布了一个重磅消息：检测到NPM供应链被攻破。但大家都忽视了一点——这不仅仅是关于一家硬件钱包公司的问题。这关乎数十亿资金所依赖的整个基础设施。

发生了什么

在9月8日，Ledger发现流行的NPM包中注入了恶意代码。翻译：为钱包交互、DeFi协议和交易所基础设施提供动力的JavaScript库被污染。Ledger立即告诉用户停止所有链上交易，直到情况变得明确。

为什么？因为如果攻击者在被发现之前破坏了这些库，他们可能会：

• 在交易过程中拦截私钥
• 创建了用于资金盗窃的后门
• 静默操控交易数据

这并不新鲜，但很可怕

供应链攻击以前曾发生过——SolarWinds 影响了 18,000 个美国政府机构。但 SolarWinds 并不持有人们的加密货币。Ledger 却持有：数十亿的数字资产。

可怕的是？使用那些受感染的 NPM 包的开发者可能甚至不知道他们已被攻陷。恶意代码可能处于休眠状态，等待稍后激活。

真正的问题

硬件钱包本应是不可被黑客攻击的——密钥离线存储。但你的设备与区块链之间的软件桥接？那是在线的。那是脆弱的。这次攻击发生在这里。

Ledger正在与网络安全专家合作以控制局势。目前尚未报告确认的损失。但他们建议暂停所有交易的事实表明威胁级别是关键。

这意味着什么

对于用户： 即使是最大的名字也不绝对可靠。你的安全链条的强度取决于最弱的环节——而现在，尚不清楚那个环节是在哪里断裂的。

对于生态系统： 这证明了去中心化的双刃剑。摆脱银行 = 如果不正确保护就会遭受损失的自由。

对于开发者： 审计一切。第三方依赖可能会致命。