✍️ Gate 广场「创作者认证激励计划」进行中!
我们欢迎优质创作者积极创作,申请认证
赢取豪华代币奖池、Gate 精美周边、流量曝光等超 $10,000+ 丰厚奖励!
立即报名 👉 https://www.gate.com/questionnaire/7159
📕 认证申请步骤:
1️⃣ App 首页底部进入【广场】 → 点击右上角头像进入个人主页
2️⃣ 点击头像右下角【申请认证】进入认证页面,等待审核
让优质内容被更多人看到,一起共建创作者社区!
活动详情:https://www.gate.com/announcements/article/47889
🚨 关键供应链攻击实时进行中
@feross 刚刚发布了这个消息:axios (100M+ 每周下载量) 最新版本1.14.1和0.30.4已被破坏。
攻击者劫持了维护者的npm账户,并在其中植入了plain-crypto-js@4.2.1,这是一个完整的远程访问木马(RAT)载荷,具有以下功能:
• 在postinstall时运行 (无需导入)
• 解混淆并执行shell命令
• 生成特定平台的恶意软件 (macOS、Windows、Linux)
• 自我销毁以隐藏踪迹
依赖axios (直接或间接)的流行加密平台和钱包包括:
• MetaMask
• Trust Wallet
• Coinbase Wallet
• Uniswap
• OpenSea
• Phantom
加密术语Alpha:
如果你运行任何Node.js加密工具 (如MEV机器人、交易脚本、链上索引器、钱包连接器等),你现在就暴露在风险中。
立即将axios锁定到1.14.0或0.30.3版本。审查你的锁文件。如果你在过去12小时内安装了,请假设已被破坏。
“plain-crypto-js”这个包名写恶意软件的讽刺……真是厨师之吻 😭
你已经在运行Socket Security或锁定你的依赖了吗?还是还在“npm install latest”那一帮人?