NPM 攻擊已成為軟體世界中最危險的供應鏈威脅之一，其對加密應用的影響尤其令人擔憂。透過針對 JavaScript 生態系統，攻擊者可以向廣泛使用的軟體包中註入惡意程式碼，進而影響數千個下游應用。 2025 年的一次大規模 NPM 攻擊顯示了這個生態系統的脆弱性。
軟體供應鏈中的 NPM 攻擊是什麼？
NPM（Node Package Manager）是 Node.js 的預設套件管理器，也是全球最大的開源軟體註冊庫。 NPM 攻擊發生在威脅者破壞軟體包或誘使開發者安裝惡意軟體包時。攻擊方法包括帳戶劫持、名稱相似的軟體包欺騙（typosquatting）以及依賴混淆攻擊，將私有包替換為惡意的公用包。
NPM 攻擊如何影響加密應用？
由於許多加密錢包和 Web3 專案依賴 JavaScript 庫，被破壞的軟體包可能會偷偷引入盜幣程式、資訊收集器，甚至後門。這些惡意程式碼通常針對像 MetaMask 這樣的錢包，攔截網路請求或在交易中更換地址，導致資金被盜。
2025 年 9 月的 NPM 攻擊發生了什麼事？
2025 年 9 月初，攻擊者破壞了至少 18 個流行的 NPM 軟體包，包括 debug、chalk 和 supports-color。一場釣魚活動誘使開發者在假的 npmjs.help 網域上洩漏了 2FA 憑證。惡意版本包含盜幣程式碼，設計用來劫持錢包互動。儘管在兩小時內被發現並刪除，但攻擊被認為是有史以來最大的 NPM 供應鏈事件之一。
開發者和使用者如何防禦 NPM 攻擊？
安全專家建議使用鎖定檔案（npm ci）、啟用軟體包來源驗證，並使用依賴掃描工具。組織還需對開發者實施強認證，並監控釣魚嘗試。雖然這次事件造成的財務損失較小，但它凸顯了開源軟體信任的脆弱性。
結論
NPM 攻擊不再只是軟體開發者的問題，它也是一個加密安全問題。隨著錢包和 Web3 應用程式繼續依賴 JavaScript 函式庫，保護供應鏈變得至關重要。開發者必須採取更強的安全措施，使用者也應保持警惕，注意廣泛使用的軟體包中潛在的風險。
