xrpl.js 库遭供应链攻击，超 290 万次下载用户私钥成窃取目标

Ripple 加密货币的 npm JavaScript 库 xrpl.js 已被未知的威胁行为者入侵，这是一场旨在获取和窃取用户私钥的软件供应链攻击的一部分。

已发现恶意活动影响了该软件包的五个不同版本：4.2.1、4.2.2、4.2.3、4.2.4 和 2.14.2。此问题已在 4.2.5 和 2.14.3 版本中得到解决。

xrpl.js 是一个流行的 JavaScript 应用程序编程接口（API），用于与 XRP 账本区块链（也称为瑞波协议）进行交互，该区块链是瑞波实验室（Ripple Labs）于 2012 年推出的一个加密货币平台。迄今为止，该软件包的下载量已超过 290 万次，每周吸引超过 13.5 万次下载。

合气道安全公司（Aikido Security）的查理・埃里克森（Charlie Eriksen）表示：“官方的 XPRL（瑞波）NPM 软件包被技术精湛的攻击者入侵，他们植入了一个后门程序，以窃取加密货币私钥并获取对加密货币钱包的访问权限。”

已发现恶意代码更改是由一个名为 “mukulljangid” 的用户于 2025 年 4 月 21 日开始引入的，威胁行为者引入了一个名为 checkValidityOfSeed 的新函数，该函数旨在将窃取到的信息传输到一个外部域名（“0x9c [.] xyz”）。

值得注意的是，“mukulljangid” 很可能是瑞波公司的一名员工，这表明他们的 npm 账户被黑客攻击，从而实施了这次供应链攻击。

据说攻击者尝试了不同的方法来偷偷植入后门程序，同时试图逃避检测，短时间内发布的不同版本就证明了这一点。目前没有证据表明相关的 GitHub 存储库也被植入了后门。

尚不清楚这次攻击背后的主使是谁，但据合气道安全公司称，据信威胁行为者设法窃取了开发者的 npm 访问令牌，以便篡改该库。

鉴于这一事件，建议依赖 xrpl.js 库的用户将其使用的版本更新到最新版本（4.2.5 和 2.14.3），以减轻潜在威胁。

XRP 账本基金会在 X 平台（原推特）上的一篇帖子中表示：“此漏洞存在于 xrpl.js 中，这是一个用于与 XRP 账本交互的 JavaScript 库。它不会影响 XRP 账本的代码库或 GitHub 存储库本身。使用 xrpl.js 的项目应立即升级到 v4.2.5 版本。”

最新消息

xrpl.js 的供应链被入侵事件已被赋予 CVE 标识符 CVE-2025-32965（通用漏洞评分系统（CVSS）评分为 9.3）。

根据 GitHub 的一则安全公告：“xrpl.js 的 4.2.1、4.2.2、4.2.3 和 4.2.4 版本已被篡改，包含旨在窃取私钥的恶意代码。如果您正在使用这些版本中的任何一个，请立即停止使用，并轮换受影响系统中使用的任何私钥或机密信息。”

“2.14.2 版本也是恶意的，不过由于它与其他 2.x 版本不兼容，被利用的可能性较小。为了确保资金安全，请仔细考虑是否有任何密钥可能已被这次供应链攻击所泄露，并通过将资金转移到安全钱包和 / 或轮换密钥来降低风险。”