nodejs event stream被植入比特幣小記

2018-11-29 184 words One minute

Contents

2018 年 11 月，npm 生態系爆發了一起重大的供應鏈攻擊事件：知名套件 event-stream 被植入惡意程式碼，針對特定比特幣錢包竊取私鑰。這起事件引發了整個開源社群對軟體供應鏈安全的重視。

事件背景

event-stream 是一個用於處理 Node.js 資料流的工具套件，週下載量超過千萬次，被大量專案依賴。

攻擊時間線（2018 年）：

攻擊者的手法非常精巧，分為幾個層次：

惡意程式碼的觸發條件（偽代碼）：

1
2
3
4


// 只有在特定套件（copay-dash）存在時才執行惡意邏輯
if (process.env.npm_package_description === "A Secure Bitcoin Wallet") {
    // 竊取錢包私鑰並傳送到遠端伺服器
}

使用以下指令檢查專案是否使用了被污染的版本：

1
2
3
4
5


# 檢查本地專案的依賴樹
npm ls event-stream flatmap-stream

# 檢查全域安裝的套件
npm ls -g event-stream flatmap-stream

若輸出結果包含 flatmap-stream，則可能受影響。被污染的版本是 event-stream@3.3.6 和 flatmap-stream@0.1.1。

1
2
3
4
5


# 使用 npm audit 掃描已知漏洞
npm audit

# 自動修復（若有可用的安全版本）
npm audit fix

這起事件提醒了開發者幾個重要的安全實踐：

提交 package-lock.json（npm）或 yarn.lock 到版本控制，確保所有人安裝的都是完全相同的版本：

1
2


# 安裝時嚴格遵守 lock file
npm ci  # 比 npm install 更嚴格，適合 CI/CD 環境

1
2


# 在 CI/CD pipeline 中加入安全掃描
npm audit --audit-level=high

自動監控依賴套件的安全漏洞，發現問題時自動提 PR。

重要依賴發生維護者轉移時要特別謹慎，這是常見的攻擊入口。