Rust 函式庫 arrayref 遭遇竊取憑證的供應鏈攻擊

關鍵要點

攻擊者發布了包括 arrayref 在內的三個惡意 Rust 套件版本，其中植入了後門；使用者編譯專案時，該後門可能自動竊取登入憑證。arrayref 約被四分之三的 Rust 開發環境使用。受影響的套件廣泛用於 Solana 和 Ethereum 工具。這些惡意版本加入了一個冒充 proc-macro2 的拼字仿冒相依套件 proc-macro1，並在不修改現有程式碼的情況下通過測試與建置。

市場情緒

謹慎看跌, 技術驅動。

原因: 攻擊者發布的惡意版本可能在編譯期間暴露登入憑證和金鑰。

類似歷史案例

廣泛使用的開發者相依套件遭到供應鏈入侵後，通常會觸發套用修補程式、輪換憑證，以及對受影響建置流程採取暫時性的謹慎措施。本次事件可能有所不同，因為受影響的套件被用於 Solana 和 Ethereum 工具。

漣漪效應

由於編譯專案可能暴露憑證和金鑰，該後門可能透過建置環境擴散風險。如果下游工具識別出受影響的版本，修復活動可能集中於更新相依套件和檢查憑證。

機會與風險

機會: 監測使用受影響套件的專案是否發現暴露情況或發布修復詳情。明確的修復通知將降低受影響建置環境的不確定性。

風險: 監測是否發現更多惡意相依套件或遭入侵的憑證。更廣泛的暴露可能干擾依賴受影響套件的工具之開發流程。