Menurut pemantauan perusahaan keamanan blockchain SlowMist (@SlowMist_Team), sistem intelijen ancaman MistEye melaporkan serangan rantai pasok npm skala besar terhadap ekosistem Keyv/Cacheable. Penyerang telah merilis lebih dari 2.000 versi paket jahat, termasuk komponen inti seperti keyv@6.0.0. Keyv, sebagai perpustakaan abstraksi penyimpanan kunci-nilai yang banyak digunakan, mendukung berbagai backend seperti Redis, SQLite, PostgreSQL, dan MongoDB, dengan sekitar 127 juta unduhan mingguan, sehingga memperbesar risiko eksposur rantai pasoknya. Metode serangan ini sangat mirip dengan aktivitas worm npm Shai-Hulud sebelumnya, dengan karakteristik otomatisasi dan skalabilitas tinggi. Risiko potensial mencakup pencurian kredensial, kebocoran variabel lingkungan, kebocoran kunci CI/CD, pengiriman payload jarak jauh, dan penetrasi lateral. SlowMist menyarankan tim keamanan segera memeriksa dan menghapus versi paket yang terdampak, memperbarui ke versi aman yang telah diverifikasi, meninjau file kunci dependensi dan log build, memantau koneksi keluar mencurigakan, mengganti kredensial yang telah terekspos, serta membangun ulang lingkungan terkait dari sumber tepercaya jika dicurigai telah disusupi.
SlowMist Mendeteksi Serangan Rantai Pasokan npm Skala Besar yang Mempengaruhi Ekosistem Keyv
TechFlowBagikan
Ringkasan
Berita on-chain mengungkap serangan skala besar terhadap rantai pasokan npm yang menargetkan ekosistem Keyv/Cacheable, dilaporkan oleh perusahaan keamanan blockchain SlowMist. Lebih dari 2.000 versi paket jahat dipublikasikan, termasuk keyv@6.0.0, sebuah perpustakaan yang banyak digunakan dengan 127 juta unduhan mingguan. Serangan ini meniru worm Shai-Hulud, memungkinkan pencurian kredensial, eksposur lingkungan, dan pergerakan lateral. SlowMist mendesak tim untuk menghapus versi yang terdampak, memperbarui ke versi yang aman, dan membangun ulang dari sumber tepercaya jika terkompromi. Insiden ini menyoroti perlunya kewaspadaan seiring pertumbuhan ekosistem yang terus berlanjut.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.