Woofun AI 获悉，SlowMist发布安全警报，披露一起有组织的恶意npm供应链攻击事件。攻击者通过30个伪装成加密货币交易机器人的恶意npm包注入JavaScript窃取程序，目标涵盖npm用户、DeFi开发者及交易机器人使用者。

此次攻击中，stake-math@3.5.4作为固定依赖项存在于donoaccestag/forex-mt5-trading-bot代码库中，该库拥有约2300个高度相似的批量生成分支，多集中于poly-stocks账户下。攻击者可窃取加密钱包库文件、浏览器Cookie、密码、浏览历史、开发者凭证、命令行历史、私钥、助记词及API token等敏感信息。SlowMist建议开发者立即移除受影响包，检查配置文件与CI日志，并将执行过安装操作的系统视为已入侵，及时更换所有暴露凭证并从干净镜像重建环境。