软件供应链正面临新的威胁。研究人员在npm注册表中检测到恶意包，npm是面向开发者的代码分发平台。这些受感染的组件将控制服务器地址隐藏在以太坊区块链中，这种策略使其难以被检测。安装这些包后，受影响的软件会联系这些服务器以接收指令、窃取凭据或泄露敏感数据。对最终用户而言，风险是具体的：看似合法的应用程序可能在没有任何明显异常活动迹象的情况下，泄露其个人和财务信息。
攻击如何在区块链上运作 🛡️
所采用的技术新颖且复杂。攻击者将命令与控制服务器的地址直接写入以太坊交易中。恶意代码在受害者设备上执行后，会查询区块链以获取该地址。由于以太坊网络是公开且去中心化的，控制服务器不依赖于可被轻易封锁的固定域名。这使得攻击者只需发布新交易即可更换服务器。此外，流向区块链的流量与合法的加密货币操作混合在一起，这使传统安全系统识别恶意通信的工作变得更加复杂。
相信我，我是一个开源包 😅
几乎有些讽刺的是，开发者——那些信任npm上看到的一切却从不阅读细则的人——竟是薄弱环节。这就像因为陌生人穿着你最喜欢的球队的球衣就邀请他进家门。这个包声称是一个日期格式化工具，结果它也在格式化你的银行记录。与此同时，企业安全服务器为攻击者的创造力鼓掌，因为他们找到了将指令隐藏在无人阅读的公共账本中的方法。幸好区块链是不可变的，因为抹去这种耻辱可没那么容易。