駭客利用Ethereum合約在npm套件中隱藏惡意程式碼

• 惡意軟體利用Ethereum合約執行隱藏指令
• 惡意npm套件利用開源程式庫
• 虛假活動包含加密貨幣交易機器人

根據安全公司ReversingLabs最近的一份報告指出，駭客正在利用Ethereum智能合約作為一種新技術的一部分，將惡意軟體隱藏於npm套件中。這種手法於七月發布的兩個套件「colortoolsv2」和「mimelib2」中被發現，這些套件直接從鏈上合約中提取指揮與控制指令。

研究員Lucija Valentic表示，這些套件執行了混淆腳本，查詢Ethereum合約以尋找感染下一階段的有效載荷。這種方法取代了傳統直接在程式碼中插入連結的做法，使得程式庫維護者更難發現並移除惡意軟體。Valentic說：「這是我們前所未見的手法，」她強調了這項技術的高明以及威脅行為者調整策略的速度。

除了利用智能合約外，攻擊者還建立了以加密貨幣為主題的虛假GitHub倉庫，例如交易機器人，並展示出人為誇大的活躍度。假星標、自動提交以及虛構的維護者檔案被用來欺騙開發者信任這些套件，並將其納入自己的專案中。

儘管這些被發現的套件在報告後已被移除，ReversingLabs警告稱，這起事件只是針對npm與GitHub生態系統更大規模攻擊行動的一部分。在這些虛假倉庫中，包括「solana-trading-bot-v2」，該倉庫透過數千次淺層提交來提升可信度，同時植入惡意依賴項。

Valentic解釋，調查顯示有更廣泛、協調一致的行動，目標是滲透惡意程式碼到開發者廣泛使用的程式庫中。「這些威脅行為者最近的攻擊，包括利用區塊鏈與GitHub打造複雜攻擊，顯示倉庫攻擊正不斷演化，」她強調。

該公司也曾發現過濫用開發者對開源套件信任的先前攻擊行動。然而，這次最新的攻擊行動展現了區塊鏈技術如何被創新地納入惡意軟體計畫中，進一步提升了加密貨幣相關應用與專案開發生態系統的安全複雜度。