<p><strong>根据 SlowMist 的报告，三个被污染的 node-ipc 版本于 5 月 14 日在 npm 注册表上线。</strong> <strong>攻击者劫持了一个闲置的维护者账户，并推送了旨在窃取开发者凭证、私钥、交易所 API 密钥等信息的代码，直接从 .env 文件中提取。</strong></p>
<p>node-ipc 是一个流行的 Node.js 包，允许不同程序在同一台机器上或有时跨网络进行通信。</p>
<h3>SlowMist 发现了这一漏洞</h3>
<p>区块链安全公司 SlowMist 通过他们的 MistEye 威胁情报系统发现了这一漏洞。</p>
<p>版本 9.1.6、9.2.3 和 12.0.1</p>
<p>MistEye 发现了三个恶意版本，包括：</p>
<ul>
<li>版本 9.1.6。</li>
<li>版本 9.2.3。</li>
<li>版本 12.0.1。</li>
</ul>
<p>上述所有版本都携带相同的混淆 80 KB 有害负载。</p>
<p>Node-ipc 处理 Node.js 中的进程间通信。它基本上帮助 Node.js 程序相互发送消息。每周有超过 822,000 人下载它。</p>
<p>Node-ipc 在整个加密领域被广泛使用。它用于开发者构建去中心化应用程序（dApps）的工具中，在自动测试和部署代码的系统（CI/CD）中，以及日常开发者工具中。</p>
<p>每个受感染的版本都附加了相同的隐藏恶意代码。任何程序加载 node-ipc 的瞬间，代码就会自动运行。</p>
<p><img src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg?x-oss-process=image/auto-orient,1/interlace,1/resize,w_1440,h_1440/quality,q_95/format,jpg" alt="" original-src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg"/></p>
<p>来自 MistyEye 的截图，显示恶意的 node-ipc 包。来源：SlowMist via X。</p>
<p>StepSecurity 的研究人员弄清楚了攻击是如何发生的。node-ipc 的原始开发者有一个与域名 atlantis-software[.] net 相关的电子邮件地址。然而，该域名于 2025 年 1 月 10 日过期。</p>
<p>在 2026 年 5 月 7 日，攻击者通过 Namecheap 购买了相同的域名，从而控制了开发者的旧电子邮件。随后，他们在 npm 上点击 “忘记密码”，重置密码，顺利进入并获得发布新版本 node-ipc 的完全权限。</p>
<p>真正的开发者对此毫不知情。恶意版本在被移除之前持续在线约两个小时。</p>
<h3>窃取者寻找 90 种以上的凭证类型</h3>
<p>嵌入的负载会搜索超过 90 种开发者和云凭证。AWS 令牌、Google Cloud 和 Azure 秘密、SSH 密钥、Kubernetes 配置、GitHub CLI 令牌，全部在列表之中。</p>
<p>对于加密开发者，恶意软件特别会攻击 .env 文件。这些文件通常包含私钥、RPC 节点凭证和交易所 API 秘密。</p>
<p>为了悄悄地将被窃取的数据传出，负载使用 DNS 隧道。它基本上将文件隐藏在正常的互联网查询请求中。大多数网络安全工具无法捕捉到这一点。</p>
<p>安全团队表示，任何在这两个小时内运行过 <code>npm install</code> 或自动更新依赖项的项目都应该假设已被攻破。</p>
<p>根据 SlowMist 的指导，立即采取的步骤：</p>
<ul>
<li>检查锁定文件中是否有 node-ipc 版本 9.1.6、9.2.3 或 12.0.1。</li>
<li>回滚到您知道是安全的最后一个版本。</li>
<li>更改所有可能泄露的凭证。</li>
</ul>
<p>2026 年，针对 npm 的供应链攻击已成为常态。加密项目受到的打击比大多数项目更严重，因为被盗的登录信息可以迅速转化为被盗资金。</p>
<p>最聪明的加密头脑已经阅读了我们的通讯。想加入他们吗？</p>

RIOT

COIN

<p>供应链攻击瞄准了流行的 Node.js 包 node-ipc，攻击者劫持了一个闲置的 npm 维护者账户，发布了三个恶意版本（9.1.6、9.2.3、12.0.1），这些版本会窃取敏感的开发者凭证和加密密钥。该漏洞由 SlowMist 发现，恶意代码在被移除前活跃了大约两个小时。建议开发者检查这些版本并更改任何可能被泄露的凭证</p>

<p><strong>Three poisoned versions of node-ipc went live on the npm registry on May 14, according to SlowMist.</strong> <strong>Attackers hijacked a dormant maintainer account and pushed code designed to siphon developer credentials, private keys, exchange API secrets, the works, straight out of .env files.</strong></p>
<div class="lb-trans"><p><strong>根据 SlowMist 的报告，三个被污染的 node-ipc 版本于 5 月 14 日在 npm 注册表上线。</strong> <strong>攻击者劫持了一个闲置的维护者账户，并推送了旨在窃取开发者凭证、私钥、交易所 API 密钥等信息的代码，直接从 .env 文件中提取。</strong></p>
</div><p>node-ipc is a popular Node.js package that lets different programs talk to each other on the same machine, or sometimes across a network.</p>
<div class="lb-trans"><p>node-ipc 是一个流行的 Node.js 包，允许不同程序在同一台机器上或有时跨网络进行通信。</p>
</div><h3>SlowMist catches the breach</h3>
<div class="lb-trans"><h3>SlowMist 发现了这一漏洞</h3>
</div><p>Blockchain security firm, SlowMist, spotted the breach through their MistEye threat intel system.</p>
<div class="lb-trans"><p>区块链安全公司 SlowMist 通过他们的 MistEye 威胁情报系统发现了这一漏洞。</p>
</div><p>Versions 9.1.6, 9.2.3, and 12.0.1</p>
<div class="lb-trans"><p>版本 9.1.6、9.2.3 和 12.0.1</p>
</div><p>MistEye found three malicious versions including:</p>
<div class="lb-trans"><p>MistEye 发现了三个恶意版本，包括：</p>
</div><ul>
<li>Version 9.1.6.</li>
<li>Version 9.2.3.</li>
<li>Version 12.0.1.</li>
</ul>
<div class="lb-trans"><ul>
<li>版本 9.1.6。</li>
<li>版本 9.2.3。</li>
<li>版本 12.0.1。</li>
</ul>
</div><p>All of the above verions carried the same obfuscated 80 KB payload.</p>
<div class="lb-trans"><p>上述所有版本都携带相同的混淆 80 KB 有害负载。</p>
</div><p>Node-ipc handles inter-process communication in Node.js. It basically helps Node.js programs send messages back and forth. Over 822,000 people download it each week.</p>
<div class="lb-trans"><p>Node-ipc 处理 Node.js 中的进程间通信。它基本上帮助 Node.js 程序相互发送消息。每周有超过 822,000 人下载它。</p>
</div><p>Node-ipc is used all over the crypto space. It’s used in the tools developers use to build dApps, in the systems that automatically test and deploy code (CI/CD), and in everyday developer tools.</p>
<div class="lb-trans"><p>Node-ipc 在整个加密领域被广泛使用。它用于开发者构建去中心化应用程序（dApps）的工具中，在自动测试和部署代码的系统（CI/CD）中，以及日常开发者工具中。</p>
</div><p>Each infected version had the same hidden malicious code bolted onto it. The moment any program loaded node-ipc, the code ran automatically.</p>
<div class="lb-trans"><p>每个受感染的版本都附加了相同的隐藏恶意代码。任何程序加载 node-ipc 的瞬间，代码就会自动运行。</p>
</div><p><img src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg" alt="" original-src="https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg"/></p>
<p>Screenshot from MistyEye showing malicious node-ipc packages. Source: SlowMist via X.</p>
<div class="lb-trans"><p>来自 MistyEye 的截图，显示恶意的 node-ipc 包。来源：SlowMist via X。</p>
</div><p>Researchers at StepSecurity figured out how the attack happened. The original developer of node-ipc had an email address tied to the domain atlantis-software[.] net. However, the domain expired on January 10, 2025.</p>
<div class="lb-trans"><p>StepSecurity 的研究人员弄清楚了攻击是如何发生的。node-ipc 的原始开发者有一个与域名 atlantis-software[.] net 相关的电子邮件地址。然而，该域名于 2025 年 1 月 10 日过期。</p>
</div><p>On May 7, 2026, the attacker bought the same domain through Namecheap, which gave them control of the developer’s old email. From there, they just hit “forgot password” on npm, reset it, and walked right in with full permission to publish new versions of node-ipc.</p>
<div class="lb-trans"><p>在 2026 年 5 月 7 日，攻击者通过 Namecheap 购买了相同的域名，从而控制了开发者的旧电子邮件。随后，他们在 npm 上点击 “忘记密码”，重置密码，顺利进入并获得发布新版本 node-ipc 的完全权限。</p>
</div><p>The real developer had no clue any of this was happening. The malicious versions stayed live for about two hours before removal.</p>
<div class="lb-trans"><p>真正的开发者对此毫不知情。恶意版本在被移除之前持续在线约两个小时。</p>
</div><h3>The stealer looks for 90+ credential types</h3>
<div class="lb-trans"><h3>窃取者寻找 90 种以上的凭证类型</h3>
</div><p>The embedded payload hunts for over 90 types of developer and cloud credentials. AWS tokens, Google Cloud and Azure secrets, SSH keys, Kubernetes configs, GitHub CLI tokens, all on the list.</p>
<div class="lb-trans"><p>嵌入的负载会搜索超过 90 种开发者和云凭证。AWS 令牌、Google Cloud 和 Azure 秘密、SSH 密钥、Kubernetes 配置、GitHub CLI 令牌，全部在列表之中。</p>
</div><p>For crypto devs, the malware specifically raids .env files. Those usually hold private keys, RPC node credentials, and exchange API secrets.</p>
<div class="lb-trans"><p>对于加密开发者，恶意软件特别会攻击 .env 文件。这些文件通常包含私钥、RPC 节点凭证和交易所 API 秘密。</p>
</div><p>To sneak the stolen data out, the payload uses DNS tunneling. It basically hides the files inside normal-looking internet lookup requests. Most network security tools don’t catch that.</p>
<div class="lb-trans"><p>为了悄悄地将被窃取的数据传出，负载使用 DNS 隧道。它基本上将文件隐藏在正常的互联网查询请求中。大多数网络安全工具无法捕捉到这一点。</p>
</div><p>Security teams are saying any project that ran <code>npm install</code> or had auto-updated dependencies during that two hour window should assume compromise.</p>
<div class="lb-trans"><p>安全团队表示，任何在这两个小时内运行过 <code>npm install</code> 或自动更新依赖项的项目都应该假设已被攻破。</p>
</div><p>Immediate steps, per guidance from SlowMist:</p>
<div class="lb-trans"><p>根据 SlowMist 的指导，立即采取的步骤：</p>
</div><ul>
<li>Check lock files for node-ipc versions 9.1.6, 9.2.3, or 12.0.1.</li>
<li>Roll back to the last version you know is safe.</li>
<li>Change every credential that might have leaked.</li>
</ul>
<div class="lb-trans"><ul>
<li>检查锁定文件中是否有 node-ipc 版本 9.1.6、9.2.3 或 12.0.1。</li>
<li>回滚到您知道是安全的最后一个版本。</li>
<li>更改所有可能泄露的凭证。</li>
</ul>
</div><p>Supply chain attacks on npm have become a regular thing in 2026. Crypto projects get hit harder than most because stolen logins can be turned into stolen money fast.</p>
<div class="lb-trans"><p>2026 年，针对 npm 的供应链攻击已成为常态。加密项目受到的打击比大多数项目更严重，因为被盗的登录信息可以迅速转化为被盗资金。</p>
</div><p>The smartest crypto minds already read our newsletter. Want in? Join them.</p>
<div class="lb-trans"><p>最聪明的加密头脑已经阅读了我们的通讯。想加入他们吗？</p>
</div>

Node-ipc supply chain attack targets crypto devs

- 5 月 14 日，npm 上发布了三个恶意版本的 node-ipc，攻击者利用休眠维护者账户。  
- 攻击通过获取开发者凭证和私钥等敏感信息，影响了众多开发者。  
- 受影响的版本为 9.1.6、9.2.3 和 12.0.1，建议用户立即检查和更新凭证。

Node-ipc 供应链攻击瞄准加密货币开发者