据网络安全公司Aikido Security的新研究，一次重大JavaScript供应链攻击已导致数百个软件包遭到破坏，其中至少10个广泛应用于加密领域。

周一，Aikido Security的研究员Charlie Eriksen 公布了400多个感染“Shai Hulud”自复制恶意软件的包名，这些软件正被用在一个JavaScript NPM库的供应链攻击中。Eriksen表示，他对每次检测进行了验证以避免误报。

涉及的加密相关包每周下载量达数万，并且有许多其他包依赖于它们。在社交平台X上，Eriksen也警告了以太坊域名服务(ENS)团队，称他们的几个包受到了影响。

Shai Hulud是更大规模供应链攻击的一部分。今年9月初，报告中的最大NPM攻击是窃取了价值5000万美元的加密货币。亚马逊网络服务指出，这次攻击之后，Shai-Hulud蠕虫在一周内就开始自动传播。

虽然之前的攻击主要针对加密资产，Shai-Hulud是一种通用凭证窃取恶意软件，可以自动在开发者基础设施中传播。如果感染环境中存在钱包密钥，恶意软件将其视作“秘密”进行窃取。

哪些加密包受影响？

受影响的包中至少有10个与加密行业相关，几乎都与ENS相关。受影响的包包括ENS的content-hash包，每周下载近36,000次，另有91个软件包依赖于它，以及下载量超过37,500次的address-encoder。其它受影响的ENS包还包括ensjs、ens-validation和ens-contracts。此外，与ENS无关的一款名为crypto-addr-codec的包也被感染，下载量近35,000。

受影响的非加密包

受影响的非加密相关包包括企业自动化平台Zapier提供的多个包，其中一个的每周下载量超过40,000。一些名为“posthog-node”的包每周下载量超过150万。

“新一波Shai Hulud攻击的影响范围极其广泛，我们仍在确认所有信息。”Eriksen写道。

“这将使之前的攻击相形见绌。”

网络安全公司Wiz的研究人员声称，他们已经“发现超过25,000个受影响的代码库，新代码库每30分钟增加1,000个。”公司建议使用npm的环境应进行“立即调查和补救”。