开源软件遭供应链攻击，黑客20分钟植入630个恶意版本

开源生态遭遇新型网络攻击

全球范围内的软件开发者正面临新一轮网络安全威胁。周二，网络安全公司StepSecurity和SafeDep联合发出警告，指出黑客正针对广泛使用的开源项目发起持续性的”供应链”攻击。这类攻击旨在控制开源项目的开发者账户，进而推送包含恶意代码的更新，最终影响下游用户。

攻击规模令人震惊

根据SafeDep的安全报告，黑客在短短20分钟内，通过控制一名开发者的账户，发布了超过630个恶意版本，涉及317个不同的软件包。此次攻击的主要目的是窃取各类服务的凭证，包括密码管理器等敏感信息，从而进一步窃取数据并传播恶意软件。

知名项目遭受波及

此次攻击的受害者名单中，包含了由阿里巴巴开发的Antv库。安全研究人员发现，黑客甚至在GitHub上发布了恶意更新。这一事件凸显了开源生态系统的脆弱性，以及恶意行为者如何利用信任关系进行破坏。

持续进行的”Mini Shai-Hulud”攻击

这起攻击是名为”Mini Shai-Hulud”的更大规模网络攻击行动的一部分。研究人员如此命名，是因为这延续了此前更广泛的黑客活动模式。就在上周，作为同一攻击系列的一部分，黑客通过入侵开源库TanStack，成功入侵了两名OpenAI员工的电脑，OpenAI只是众多受害者之一。

关注微信号：智享开源 ，更多信息访问网站：blog.imcn.me

原文链接：https://techcrunch.com/2026/05/19/hackers-have-compromised-dozens-of-popular-open-source-packages-in-an-ongoing-supply-chain-attack/

推荐阅读

亚马逊终止老款Kindle支持，用户转向越狱改造

老款Kindle面临技术支持终结 随着亚马逊宣布将于5月20日正式终止对多款老款Kindle设备的技术支持，许多用户开始…