详细内容或原文请订阅后点击阅览
Ripple NPM供应链攻击狩猎私钥
一个神秘小偷和一个关键的CVE参与了Crypto Cash Manyy版本的Ripple Ledger（XRPL）官方NPM套件，并用注射的恶意软件损害了窃取加密货币的恶意软件。
来源:The Register _恶意软件Ripple Ledger（XRPL）官方NPM软件包的许多版本都被注射的恶意软件损害，以窃取加密货币。
NPM软件包XRPL是一个JavaScript/Typescript库，使用CryptoCurrency Ledger的功能与Dev一起使用并构建应用程序。这包括钱包和密钥管理，付款渠道，分散交易，托管等。
XRPL从开发人员那里获得了很大的兴趣；每周的下载量在4月的最高水平超过186,000，这表明在没有确认的数字的情况下，最近有多少人受到最近的妥协影响。
最初是由安全商店Aikido发现的，“复杂”的攻击是在周一晚上进行的，涉及在五个版本的XRPL上安装后门。这些旨在窃取用户的私钥，并最终访问其钱包和资金。
受影响的版本为4.2.1、4.2.2、4.2.3和4.2.4，以及2.14.2。 XRPL表示，由于它与其他2.x版本不兼容，因此后者不太可能被利用，但是这些版本的所有用户都应假定它们受到损害并尽快旋转其私钥。
“为了获得资金，请仔细考虑该供应链攻击是否可能损害任何钥匙，并通过向固定钱包和/或旋转钥匙的资金汇款来减轻钥匙。”
咨询XRPL还说，如果帐户的主密钥可能被妥协，则应将其禁用。
漏洞已被分配了关键的CVE（CVE-2025-32965，9.3），尽管这不能解释其确切的性质，只是它存在并连接到XRPL供应链攻击。
CVE-2025-32965 供应链攻击发现恶意版本的研究人员在看到五个新版本出现在NPM上，但在XRPL的GitHub页面上首次被警告，可能会滥用潜在的滥用。
github 说 npm 针对加密和Web3开发人员的广告系列 寄存器