摘要：网络安全公司Aikido Security披露了npm生态有史以来最大规模的供应链攻击事件。攻击者通过钓鱼邮件入侵长期受信任的维护者qix的账户，篡改了包括chalk、debug和ansi-styles在内的18个流行软件包，这些软件包每周总下载量超过20亿次
攻击者通过伪造support@npmjs.help发送的钓鱼邮件获取了维护者账户权限。被植入恶意代码的软件包中，chalk（每周3亿下载）、debug（3.58亿）和ansi-styles（3.71亿）等基础组件影响尤为广泛，从底层工具is-arrayish到格式化库strip-ansi均受波及。这些组件作为JavaScript应用的基石，恶意版本可能已渗透至全球生产环境。
不同于传统针对开发环境的攻击，此次植入的恶意代码专门针对浏览器端的加密货币交易：
劫持MetaMask、Phantom等钱包API接口在用户签署交易前篡改交易数据界面显示正确收款方，实际资金转入攻击者地址支持以太坊、比特币、Solana等主流区块链的地址伪造通过修改fetch、XMLHttpRequest等核心函数实现流量劫持Part03应急响应与缓解措施Aikido恶意软件研究主管Charlie Eriksen表示，攻击在5分钟内被识别，1小时内完成披露。目前建议开发者：
回滚至已知安全版本审计近期更新的所有依赖项对涉及加密货币交易的应用实施严密监控部分软件包（如simple-swizzle）截至最新更新仍处于被控状态，Aikido已在其官方博客开通实时更新通道。
参考来源：
npm Packages With 2 Billion Weekly Downloads Hacked in Major Attack
https://hackread.com/npm-packages-2-billion-downloads-hacked-attack/来源：FreeBuf
