NPM 蠕蟲供應鏈攻擊竊取開發環境憑證與加密貨幣資產

駭客利用 NPM 套件庫的供應鏈漏洞，植入惡意蠕蟲程式，一旦開發者安裝或執行，程式便會自動竊取本地環境中的敏感憑證與加密貨幣錢包資訊。攻擊者隨後利用竊取的帳號身分，向其他開發者或合作夥伴發送惡意連結，形成連鎖感染效應。此手法結合了技術攻擊與社會工程，針對開發者對開源套件的信任進行精準打擊。一般開發者容易在更新套件或安裝新工具時，忽略對來源的嚴格驗證，導致惡意程式潛入系統。許多開發者習慣自動更新或信任知名套件，卻未察覺其中已被植入後門，造成資產瞬間流失。建議開發者應定期審查套件來源，啟用雙重驗證，並對異常的網路請求保持高度警覺。