新型后门恶意软件潜伏代码库，开发者需警惕供应链攻击

核心提要：网络安全机构Socket警告，一种名为“后门”的新型恶意软件正通过npm与PyPI等代码库针对加密与AI开发者。攻击者利用信任漏洞植入恶意包，窃取钱包密钥与身份凭证，威胁数字资产与源码安全。

恶意软件“后门”瞄准开发者生态，供应链风险持续升级

网络安全研究机构Socket发布最新预警，揭示一场专门针对加密货币、去中心化金融及人工智能领域开发者的定向攻击活动。该攻击以“后门”为代号，其核心手段是将恶意代码伪装成合法软件包，上传至npm与PyPI等主流开发者依赖平台。

攻击者借信任之名植入隐蔽后门

分析显示，攻击者精心构造看似正常的开源模块，将其嵌入公共代码库中。一旦开发者在项目中引入此类包，系统即被悄然感染。激活后的恶意程序会主动搜寻并窃取关键凭据，包括MetaMask、Phantom等主流钱包插件的私钥，以及用于远程访问的SSH密钥和GitHub身份验证令牌。

信任链断裂：开源依赖成高危入口

由于加密与人工智能项目普遍依赖大量第三方库快速迭代，npm与PyPI等平台虽高效便捷，却常因缺乏严格审核而成为攻击跳板。此次事件凸显了开发者对依赖项的无意识信任可能转化为严重安全隐患。一旦敏感信息外泄，不仅可能导致数字资产被盗，还可能使攻击者获得生产环境控制权，进而植入更多恶意逻辑或窃取核心技术。

单点渗透引发系统性危机

此类攻击暴露了软件供应链安全的深层脆弱性。一个受感染的底层依赖项可能像病毒一样扩散至多个应用，形成连锁反应。对于依赖区块链或AI模型构建产品的组织而言，这不仅是技术风险，更可能引发大规模财务损失与品牌信誉崩塌。

强化防御：从依赖管理到身份保护

Socket建议开发者在引入新依赖时采取多重验证措施：使用校验和确认包完整性、启用依赖锁定机制防止版本漂移、部署具备行为监测能力的安全扫描工具。同时，应避免在开发机上存储高权限凭证，优先采用硬件钱包保管加密资产，并为所有代码托管账户配置多因素认证。

结语：安全防线须前置至开发源头

“后门”类攻击表明，威胁正从被动入侵转向主动渗透。开发者不再只是使用者，更是安全链条的关键节点。唯有将安全实践嵌入开发流程的每个环节，才能有效抵御这类针对性极强的供应链攻击，守护数字创新的根基。