Woofun AI 獲悉，SlowMist發佈安全警報，披露一起有組織的惡意npm供應鏈攻擊事件。攻擊者通過30個僞裝成加密貨幣交易機器人的惡意npm包注入JavaScript竊取程序，目標涵蓋npm用戶、DeFi開發者及交易機器人使用者。

此次攻擊中，stake-math@3.5.4作爲固定依賴項存在於donoaccestag/forex-mt5-trading-bot代碼庫中，該庫擁有約2300個高度相似的批量生成分支，多集中於poly-stocks賬戶下。攻擊者可竊取加密錢包庫文件、瀏覽器Cookie、密碼、瀏覽歷史、開發者憑證、命令行歷史、私鑰、助記詞及API token等敏感信息。SlowMist建議開發者立即移除受影響包，檢查配置文件與CI日誌，並將執行過安裝操作的系統視爲已入侵，及時更換所有暴露憑證並從乾淨鏡像重建環境。