Odaily星球日报讯 针对“NPM 供应链攻击”事件，OKX Wallet 表示，OKX 始终将系统安全置于首位，在产品研发与上线全流程中严格管控第三方组件使用风险。经内部核查与评估，OKX APP 基于安卓与 iOS 原生框架开发，不存在相关安全风险；OKX 插件、Web 应用及移动端 DApp 浏览器均未使用受影响版本的第三方组件，平台各项服务运行正常，用户可继续安心使用。

据悉，攻击者通过钓鱼邮件（伪装为 npmjs 支持）窃取了开发者 qix 的 NPM 账户凭证，进而向其发布的 18 个热门 JavaScript 包（包括 chalk、debug-js 等，周下载量超 20 亿次）注入恶意代码。此攻击被认为是史上最大规模的供应链攻击。

值得注意的是， 该恶意代码并未尝试在本地环境植入木马或窃取文件，而是专门针对 Web 3 场景：如果检测到浏览器环境中存在 window.ethereum，便会劫持交易请求。恶意代码通过篡改浏览器的 Ethereum 和 Solana 交易请求，将资金重定向至攻击者控制的地址（如以太坊地址 0xFc4a4858 ... ），并通过替换 JSON 响应中的加密地址窃取资产。尽管页面显示正常交易地址，实际资金被转至攻击者地址。