Rust 供应链攻击波及 3 个库，影响 Solana 生态组件

arrayref等库被植入恶意依赖，构建时自动执行恶意软件，Solana相关组件面临风险。

据 Woofun AI 消息，Rust 生态遭遇供应链攻击，arrayref@0.3.10、internment@0.8.7 及 append-only-vec@0.1.9 三个正规库被攻陷。被篡改版本引入了名为 proc-macro1 的恶意依赖，会在 Cargo 构建过程中自动下载并执行跨平台恶意软件。

慢雾指出，arrayref 在 Rust 生态中应用广泛，其干净版本 v0.3.9 累计下载量约 1.52 亿次，且间接存在于多个常用 Rust GUI 框架依赖链中。该库在 Solana 生态的代币、质押及验证者相关组件中亦有较大覆盖面，但现有数据不代表相关项目或主机已遭实际攻陷。攻击者可能实施的行为包括构建阶段远程代码执行、主机信息探测、持久化驻留、浏览器数据窃取以及执行其他脚本或 shell 命令。