一位主要的 NPM 開發者 qix 的帳戶已被入侵。該帳戶被用來推送惡意軟體，專門針對並搜尋用戶裝置上的 Bitcoin 和加密貨幣錢包。一旦被檢測到，該惡意軟體會修改用於協調交易簽名的代碼功能，並將用戶嘗試發送資金的地址替換為惡意軟體創建者自己的地址。
這主要應該是網頁錢包用戶需要關注的問題，特別是在 Bitcoin 生態系統中的 Ordinals 或 Runes/其他代幣用戶，除非您的普通軟體錢包剛好在今天早些時候推送了帶有受感染依賴項的更新，或者如果您的錢包直接從錢包後端動態加載代碼而繞過應用商店，否則您應該沒有問題。
NPM 是 Node.js 的套件管理器，Node.js 是一個流行的 Javascript 框架。這意味著它被用來獲取大量預先編寫的代碼，這些代碼用於常見功能，可以整合到不同的程式中，而開發者不必自己重寫基本功能。
被針對的套件並非專門針對加密貨幣，而是被無數基於 Node.js 構建的普通應用程式使用的套件，不僅僅是加密貨幣錢包。
如果您正在結合使用硬體錢包和網頁錢包，請特別注意在簽署任何內容之前，在裝置本身上驗證您要發送資金的目標地址是否正確。
如果您在網頁錢包本身中使用軟體金鑰，建議在確定您沒有運行易受攻擊版本的錢包之前，不要打開它們或進行交易。最安全的做法是等待您使用的錢包開發團隊發布公告。
來源：https://bitcoinmagazine.com/news/npm-attack-javascript-library-compromise-goes-after-bitcoin-wallets
