币圈界报道：

攻击者借开源生态渗透加密与AI开发环境

网络安全组织Socket发布最新预警，揭示一场专门锁定加密货币、去中心化金融及人工智能开发者的新型恶意软件活动。攻击者将伪装成合法组件的恶意代码植入npm与PyPI等主流代码托管平台，诱导开发者在无意识中引入潜在漏洞。

恶意包利用信任机制实现隐蔽入侵

分析显示，攻击者通过在看似正常的软件包中嵌入隐蔽指令，使开发者在执行常规依赖安装时触发感染。一旦激活，该程序会定向搜寻并窃取MetaMask、Phantom等钱包插件数据，同时提取SSH密钥与GitHub身份验证凭据，为后续横向渗透与资产盗取铺路。

开源依赖链成为高价值攻击入口

由于加密与人工智能项目普遍依赖npm与PyPI生态快速构建系统，这些平台虽具备高度可用性，却常缺乏严格的代码审查机制。攻击者正是利用开发者对公共仓库的信任心理，将日常开发行为转化为高危操作，致使整个开发流程面临系统性风险。

单点失守或引发全链条崩溃

此类攻击不仅威胁个人资产安全，更可能波及企业核心生产环境。若攻击者获取生产服务器访问权限，便可在应用中注入后门逻辑，进而导致知识产权外泄、服务中断甚至大规模数据泄露，形成难以估量的财务与声誉代价。

强化依赖管理是关键防线

Socket建议所有开发者建立严格的依赖引入规范：优先使用数字签名验证包来源，强制启用依赖锁定机制，并部署具备异常行为识别能力的安全检测工具。同时，应避免在开发机上直接存储敏感密钥，推荐采用硬件钱包保管加密资产，并为所有账户配置多因素认证以提升防护层级。

安全防御需贯穿开发全生命周期

此次事件再次揭示软件供应链攻击正趋向精细化与目标化。面对不断演进的威胁态势，开发者必须转变被动应对思维，将安全措施前置至项目初期设计阶段。唯有构建从代码引入到部署运维的全流程防护体系，才能有效抵御此类隐蔽性强、影响深远的高级威胁。