SlowMist 检测到虚假招聘活动，恶意 GitHub 代码诱骗开发者
By: rootdata|2026/07/18 07:30:00
0
分享
设为Google首选来源
SlowMist 监测到一起针对开发者的恶意活动，攻击者利用虚假的 Web3 招聘信息进行攻击。攻击者在 LinkedIn 上冒充招聘人员，通过讨论工作经验和面试经历建立信任，随后发送伪装成"面试 MVP"的 GitHub 代码库，诱骗开发者运行该项目。分析发现，该恶意代码库将 theme/js/auron-core.min.js 隐藏为 Tailwind 插件。当开发者运行该项目的开发或构建命令时，隐藏的 Node.js 加载器会被触发，部署多个有效载荷，包括窃取浏览器凭证和钱包数据、收集和窃取敏感文件、执行远程命令和交互式 Shell 访问、监控剪贴板。SlowMist 提醒开发者在运行未知代码库之前，务必检查项目脚本、依赖项和构建配置。
-- 价格
--
--
--
本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。
猜你喜欢
阿里云发布AI代理安全审计工具AgentLoop Audit
阿里云（Alibaba Cloud）发布了AI代理安全审计工具AgentLoop Audit。该工具专注于区分在处理文件系统、Shell命令、API和外部网络的AI代理执行过程中实际风险与简单警告。
中国的Kimi K3突破沙盒寻找测试答案
壳牌第二季度利润达98亿美元
安全警报：30 个恶意 npm 包伪装交易机器人仓库，定向窃取开发者密钥与助记词
ChainCatcher 消息，慢雾 SlowMist 发布安全警报，监测到一场协同恶意 npm 供应链攻击，攻击者利用虚假交易机器人仓库和 DeFi 主题 npm 包投放 JavaScript 信息窃取器，目标直指 npm 用户、DeFi 开发者及交易机器人用户。
此次攻击涉及 30 个恶意 npm 包，其中 stake-math@3.5.4 作为锁定依赖项出现在 donoaccestag/forex-mt5-trading-bot 仓库中，该仓库呈现约 2300 个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，信号异常明确。攻击者可窃取的敏感数据范围极广，包括加...
供应链攻击波及 PyPI/npm/crates.io，超 34 个恶意包瞄准加密与 AI 开发者
ChainCatcher 消息，据慢雾披露，安全机构 MistEye 检测到一起跨注册表供应链攻击事件，攻击者通过向 npm、PyPI 和 crates.io 发布恶意软件包，针对加密货币、DeFi、Solana、Sui/Move 及 AI 领域的开发者。该攻击活动包含 34 个以上的恶意软件包和 384 个以上相关版本。攻击者可能窃取加密货币钱包、SSH 密钥、云凭证、GitHub/AWS 令牌、浏览器数据、环境变量及开发者机密信息。部分恶意负载还试图通过 .cursorrules、CLAUDE.md、Git 钩子、shell 钩子、cron、systemd 和 SSH 实现持久化驻留。建议...
富兰克林邓普顿推动在7900亿美元的共同基金中利用代币化资产
![[SCAN 2026 决赛采访] ⑫ Lv1x: 马来西亚网络安全专业学生，挑战决赛舞台](/public-static/10_5acc261b9b.png?format=avif)
[SCAN 2026 决赛采访] ⑫ Lv1x: 马来西亚网络安全专业学生，挑战决赛舞台
世界首个虚拟资产（数字资产）追踪比赛“SCAN 2026”决赛将于9月28日上午9时在首尔瑞草区的摩纳哥空间举行。SCAN 2026旨在提升数字资产网络安全和调查能力，由数字资产信息公司DiAsset主办，全球区块链数据平台Chainalysis作为CTF（Capture The Flag）合作伙伴参与。SCAN 2026决赛将有来自预选赛（共416队，754人）中排名前20的队伍参加。
野村：如果市场继续恶化，美联储会下场「YCC 或 QE」
华尔街早报：贝森特“救市”仅撑一天，三大股指齐跌，沃尔玛砸盘、AI存储与光通信逆势突围
宇树掌门人泼冷水？具身智能的“ChatGPT时刻”究竟还有多久
HMRC在一年内发送81,172份加密税务警告
瑞波与Clearpool及Cicada合作，构建面向机构投资者的XRPL融资与信用交易基础设施
恒大创始人在中国被判终身监禁
恒大创始人许家印因诈骗和腐败在中国被判终身监禁，其公司被罚款158.2亿元。
富兰克林邓普顿获得SEC批准将BENJI纳入ETF
AI债务5000亿美元，9月公司债供需考验
美国国债市场在9月公司债发行高峰期前再次面临考验。大型科技公司在人工智能（AI）基础设施上的投资推动了债券发行，导致长期国债与投资者资金之间的竞争愈发明显。
Injective获得SEC的证券转让代理人注册，扩大代币化推进
一个账户装下机构级配置：BiFu 财富管理板块成型，理财产品与 RWA 并入同一入口
Bitget UEX 日报｜美债回购规模至少翻倍；Anthropic 最快月底递表 IPO；美股回吐涨幅 (2026 年 08 月 21 日 )
昨夜今晨重要资讯（8月20日-8月21日）
白银与铂金大幅上涨超 2.5%｜WEEX TradFi 每日市场简报（2026年8月21日）
昨日美股三大指数均收跌。沃尔玛财报同店销售与指引不及预期，拖累消费板块与三大指数收低。白银与铂金显著上涨，受长债回购推低收益率及美元走软支撑。比特币涨至 7.5 万美元，带动加密金融股继续上涨。市场正聚焦美东时间 8 月 21 日公布的 8 月标普全球制造业与服务业 PMI 初值，数据将直接影响 9 月利率路径定价。
创业两年半，全员AI化后，公司反而变得更“传统”了
11人预测维持不变，10人预测加息，8月货币政策委员会前景分歧
在韩国银行8月货币政策委员会召开之前，基准利率的预测出现了分歧，11人认为将维持不变，10人则认为将加息。7月基准利率加息后，是否连续加息成为27日会议的核心议题。
高盛：美元或成为美国财政压力的泄压阀
Maya Protocol遭遇约170万美元流出，6个漏洞被利用导致20BTC损失
阿里云发布AI代理安全审计工具AgentLoop Audit
阿里云（Alibaba Cloud）发布了AI代理安全审计工具AgentLoop Audit。该工具专注于区分在处理文件系统、Shell命令、API和外部网络的AI代理执行过程中实际风险与简单警告。
中国的Kimi K3突破沙盒寻找测试答案
壳牌第二季度利润达98亿美元
安全警报：30 个恶意 npm 包伪装交易机器人仓库，定向窃取开发者密钥与助记词
ChainCatcher 消息，慢雾 SlowMist 发布安全警报，监测到一场协同恶意 npm 供应链攻击，攻击者利用虚假交易机器人仓库和 DeFi 主题 npm 包投放 JavaScript 信息窃取器，目标直指 npm 用户、DeFi 开发者及交易机器人用户。
此次攻击涉及 30 个恶意 npm 包，其中 stake-math@3.5.4 作为锁定依赖项出现在 donoaccestag/forex-mt5-trading-bot 仓库中，该仓库呈现约 2300 个高度同质化的批量生成分叉，大部分集中在 poly-stocks 账户下，信号异常明确。攻击者可窃取的敏感数据范围极广，包括加...
供应链攻击波及 PyPI/npm/crates.io，超 34 个恶意包瞄准加密与 AI 开发者
ChainCatcher 消息，据慢雾披露，安全机构 MistEye 检测到一起跨注册表供应链攻击事件，攻击者通过向 npm、PyPI 和 crates.io 发布恶意软件包，针对加密货币、DeFi、Solana、Sui/Move 及 AI 领域的开发者。该攻击活动包含 34 个以上的恶意软件包和 384 个以上相关版本。攻击者可能窃取加密货币钱包、SSH 密钥、云凭证、GitHub/AWS 令牌、浏览器数据、环境变量及开发者机密信息。部分恶意负载还试图通过 .cursorrules、CLAUDE.md、Git 钩子、shell 钩子、cron、systemd 和 SSH 实现持久化驻留。建议...
富兰克林邓普顿推动在7900亿美元的共同基金中利用代币化资产
...
