<p><strong>根據 SlowMist 的報告，三個被污染的 node-ipc 版本於 5 月 14 日在 npm 註冊表上線。</strong> <strong>攻擊者劫持了一個閒置的維護者賬户，並推送了旨在竊取開發者憑證、私鑰、交易所 API 密鑰等信息的代碼，直接從 .env 文件中提取。</strong></p>
<p>node-ipc 是一個流行的 Node.js 包，允許不同程序在同一台機器上或有時跨網絡進行通信。</p>
<h3>SlowMist 發現了這一漏洞</h3>
<p>區塊鏈安全公司 SlowMist 通過他們的 MistEye 威脅情報系統發現了這一漏洞。</p>
<p>版本 9.1.6、9.2.3 和 12.0.1</p>
<p>MistEye 發現了三個惡意版本，包括：</p>
<ul>
<li>版本 9.1.6。</li>
<li>版本 9.2.3。</li>
<li>版本 12.0.1。</li>
</ul>
<p>上述所有版本都攜帶相同的混淆 80 KB 有害負載。</p>
<p>Node-ipc 處理 Node.js 中的進程間通信。它基本上幫助 Node.js 程序相互發送消息。每週有超過 822,000 人下載它。</p>
<p>Node-ipc 在整個加密領域被廣泛使用。它用於開發者構建去中心化應用程序（dApps）的工具中，在自動測試和部署代碼的系統（CI/CD）中，以及日常開發者工具中。</p>
<p>每個受感染的版本都附加了相同的隱藏惡意代碼。任何程序加載 node-ipc 的瞬間，代碼就會自動運行。</p>
<p><img src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg?x-oss-process=image/auto-orient,1/interlace,1/resize,w_1440,h_1440/quality,q_95/format,jpg" alt="" original-src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg"/></p>
<p>來自 MistyEye 的截圖，顯示惡意的 node-ipc 包。來源：SlowMist via X。</p>
<p>StepSecurity 的研究人員弄清楚了攻擊是如何發生的。node-ipc 的原始開發者有一個與域名 atlantis-software[.] net 相關的電子郵件地址。然而，該域名於 2025 年 1 月 10 日過期。</p>
<p>在 2026 年 5 月 7 日，攻擊者通過 Namecheap 購買了相同的域名，從而控制了開發者的舊電子郵件。隨後，他們在 npm 上點擊 “忘記密碼”，重置密碼，順利進入並獲得發佈新版本 node-ipc 的完全權限。</p>
<p>真正的開發者對此毫不知情。惡意版本在被移除之前持續在線約兩個小時。</p>
<h3>竊取者尋找 90 種以上的憑證類型</h3>
<p>嵌入的負載會搜索超過 90 種開發者和雲憑證。AWS 令牌、Google Cloud 和 Azure 秘密、SSH 密鑰、Kubernetes 配置、GitHub CLI 令牌，全部在列表之中。</p>
<p>對於加密開發者，惡意軟件特別會攻擊 .env 文件。這些文件通常包含私鑰、RPC 節點憑證和交易所 API 秘密。</p>
<p>為了悄悄地將被竊取的數據傳出，負載使用 DNS 隧道。它基本上將文件隱藏在正常的互聯網查詢請求中。大多數網絡安全工具無法捕捉到這一點。</p>
<p>安全團隊表示，任何在這兩個小時內運行過 <code>npm install</code> 或自動更新依賴項的項目都應該假設已被攻破。</p>
<p>根據 SlowMist 的指導，立即採取的步驟：</p>
<ul>
<li>檢查鎖定文件中是否有 node-ipc 版本 9.1.6、9.2.3 或 12.0.1。</li>
<li>回滾到您知道是安全的最後一個版本。</li>
<li>更改所有可能泄露的憑證。</li>
</ul>
<p>2026 年，針對 npm 的供應鏈攻擊已成為常態。加密項目受到的打擊比大多數項目更嚴重，因為被盜的登錄信息可以迅速轉化為被盜資金。</p>
<p>最聰明的加密頭腦已經閲讀了我們的通訊。想加入他們嗎？</p>

RIOT

COIN

<p>供應鏈攻擊瞄準了流行的 Node.js 包 node-ipc，攻擊者劫持了一個閒置的 npm 維護者賬户，發佈了三個惡意版本（9.1.6、9.2.3、12.0.1），這些版本會竊取敏感的開發者憑證和加密密鑰。該漏洞由 SlowMist 發現，惡意代碼在被移除前活躍了大約兩個小時。建議開發者檢查這些版本並更改任何可能被泄露的憑證</p>

<p><strong>Three poisoned versions of node-ipc went live on the npm registry on May 14, according to SlowMist.</strong> <strong>Attackers hijacked a dormant maintainer account and pushed code designed to siphon developer credentials, private keys, exchange API secrets, the works, straight out of .env files.</strong></p>
<div class="lb-trans"><p><strong>根據 SlowMist 的報告，三個被污染的 node-ipc 版本於 5 月 14 日在 npm 註冊表上線。</strong> <strong>攻擊者劫持了一個閒置的維護者賬户，並推送了旨在竊取開發者憑證、私鑰、交易所 API 密鑰等信息的代碼，直接從 .env 文件中提取。</strong></p>
</div><p>node-ipc is a popular Node.js package that lets different programs talk to each other on the same machine, or sometimes across a network.</p>
<div class="lb-trans"><p>node-ipc 是一個流行的 Node.js 包，允許不同程序在同一台機器上或有時跨網絡進行通信。</p>
</div><h3>SlowMist catches the breach</h3>
<div class="lb-trans"><h3>SlowMist 發現了這一漏洞</h3>
</div><p>Blockchain security firm, SlowMist, spotted the breach through their MistEye threat intel system.</p>
<div class="lb-trans"><p>區塊鏈安全公司 SlowMist 通過他們的 MistEye 威脅情報系統發現了這一漏洞。</p>
</div><p>Versions 9.1.6, 9.2.3, and 12.0.1</p>
<div class="lb-trans"><p>版本 9.1.6、9.2.3 和 12.0.1</p>
</div><p>MistEye found three malicious versions including:</p>
<div class="lb-trans"><p>MistEye 發現了三個惡意版本，包括：</p>
</div><ul>
<li>Version 9.1.6.</li>
<li>Version 9.2.3.</li>
<li>Version 12.0.1.</li>
</ul>
<div class="lb-trans"><ul>
<li>版本 9.1.6。</li>
<li>版本 9.2.3。</li>
<li>版本 12.0.1。</li>
</ul>
</div><p>All of the above verions carried the same obfuscated 80 KB payload.</p>
<div class="lb-trans"><p>上述所有版本都攜帶相同的混淆 80 KB 有害負載。</p>
</div><p>Node-ipc handles inter-process communication in Node.js. It basically helps Node.js programs send messages back and forth. Over 822,000 people download it each week.</p>
<div class="lb-trans"><p>Node-ipc 處理 Node.js 中的進程間通信。它基本上幫助 Node.js 程序相互發送消息。每週有超過 822,000 人下載它。</p>
</div><p>Node-ipc is used all over the crypto space. It’s used in the tools developers use to build dApps, in the systems that automatically test and deploy code (CI/CD), and in everyday developer tools.</p>
<div class="lb-trans"><p>Node-ipc 在整個加密領域被廣泛使用。它用於開發者構建去中心化應用程序（dApps）的工具中，在自動測試和部署代碼的系統（CI/CD）中，以及日常開發者工具中。</p>
</div><p>Each infected version had the same hidden malicious code bolted onto it. The moment any program loaded node-ipc, the code ran automatically.</p>
<div class="lb-trans"><p>每個受感染的版本都附加了相同的隱藏惡意代碼。任何程序加載 node-ipc 的瞬間，代碼就會自動運行。</p>
</div><p><img src="https://imageproxy.pbkrs.com/https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg" alt="" original-src="https://www.cryptopolitan.com/wp-content/uploads/2026/05/HIVBSqObwAAaPBg.jpeg"/></p>
<p>Screenshot from MistyEye showing malicious node-ipc packages. Source: SlowMist via X.</p>
<div class="lb-trans"><p>來自 MistyEye 的截圖，顯示惡意的 node-ipc 包。來源：SlowMist via X。</p>
</div><p>Researchers at StepSecurity figured out how the attack happened. The original developer of node-ipc had an email address tied to the domain atlantis-software[.] net. However, the domain expired on January 10, 2025.</p>
<div class="lb-trans"><p>StepSecurity 的研究人員弄清楚了攻擊是如何發生的。node-ipc 的原始開發者有一個與域名 atlantis-software[.] net 相關的電子郵件地址。然而，該域名於 2025 年 1 月 10 日過期。</p>
</div><p>On May 7, 2026, the attacker bought the same domain through Namecheap, which gave them control of the developer’s old email. From there, they just hit “forgot password” on npm, reset it, and walked right in with full permission to publish new versions of node-ipc.</p>
<div class="lb-trans"><p>在 2026 年 5 月 7 日，攻擊者通過 Namecheap 購買了相同的域名，從而控制了開發者的舊電子郵件。隨後，他們在 npm 上點擊 “忘記密碼”，重置密碼，順利進入並獲得發佈新版本 node-ipc 的完全權限。</p>
</div><p>The real developer had no clue any of this was happening. The malicious versions stayed live for about two hours before removal.</p>
<div class="lb-trans"><p>真正的開發者對此毫不知情。惡意版本在被移除之前持續在線約兩個小時。</p>
</div><h3>The stealer looks for 90+ credential types</h3>
<div class="lb-trans"><h3>竊取者尋找 90 種以上的憑證類型</h3>
</div><p>The embedded payload hunts for over 90 types of developer and cloud credentials. AWS tokens, Google Cloud and Azure secrets, SSH keys, Kubernetes configs, GitHub CLI tokens, all on the list.</p>
<div class="lb-trans"><p>嵌入的負載會搜索超過 90 種開發者和雲憑證。AWS 令牌、Google Cloud 和 Azure 秘密、SSH 密鑰、Kubernetes 配置、GitHub CLI 令牌，全部在列表之中。</p>
</div><p>For crypto devs, the malware specifically raids .env files. Those usually hold private keys, RPC node credentials, and exchange API secrets.</p>
<div class="lb-trans"><p>對於加密開發者，惡意軟件特別會攻擊 .env 文件。這些文件通常包含私鑰、RPC 節點憑證和交易所 API 秘密。</p>
</div><p>To sneak the stolen data out, the payload uses DNS tunneling. It basically hides the files inside normal-looking internet lookup requests. Most network security tools don’t catch that.</p>
<div class="lb-trans"><p>為了悄悄地將被竊取的數據傳出，負載使用 DNS 隧道。它基本上將文件隱藏在正常的互聯網查詢請求中。大多數網絡安全工具無法捕捉到這一點。</p>
</div><p>Security teams are saying any project that ran <code>npm install</code> or had auto-updated dependencies during that two hour window should assume compromise.</p>
<div class="lb-trans"><p>安全團隊表示，任何在這兩個小時內運行過 <code>npm install</code> 或自動更新依賴項的項目都應該假設已被攻破。</p>
</div><p>Immediate steps, per guidance from SlowMist:</p>
<div class="lb-trans"><p>根據 SlowMist 的指導，立即採取的步驟：</p>
</div><ul>
<li>Check lock files for node-ipc versions 9.1.6, 9.2.3, or 12.0.1.</li>
<li>Roll back to the last version you know is safe.</li>
<li>Change every credential that might have leaked.</li>
</ul>
<div class="lb-trans"><ul>
<li>檢查鎖定文件中是否有 node-ipc 版本 9.1.6、9.2.3 或 12.0.1。</li>
<li>回滾到您知道是安全的最後一個版本。</li>
<li>更改所有可能泄露的憑證。</li>
</ul>
</div><p>Supply chain attacks on npm have become a regular thing in 2026. Crypto projects get hit harder than most because stolen logins can be turned into stolen money fast.</p>
<div class="lb-trans"><p>2026 年，針對 npm 的供應鏈攻擊已成為常態。加密項目受到的打擊比大多數項目更嚴重，因為被盜的登錄信息可以迅速轉化為被盜資金。</p>
</div><p>The smartest crypto minds already read our newsletter. Want in? Join them.</p>
<div class="lb-trans"><p>最聰明的加密頭腦已經閲讀了我們的通訊。想加入他們嗎？</p>
</div>

Node-ipc supply chain attack targets crypto devs

- 5 月 14 日，npm 上發佈了三個惡意版本的 node-ipc，攻擊者利用休眠維護者賬户。  
- 攻擊通過獲取開發者憑證和私鑰等敏感信息，影響了眾多開發者。  
- 受影響的版本為 9.1.6、9.2.3 和 12.0.1，建議用户立即檢查和更新憑證。

Node-ipc 供應鏈攻擊瞄準加密貨幣開發者