深度解析 TrapDoor 供应链攻击：跨生态凭据窃取行动的威胁分析与防护

查找币:余老师 | 漏洞披露 | 2026-06-02 08:00 | 2 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 背景概述 2026年5月24日，Socket.dev 安全研究团队披露了一起代号为 **TrapDoor** 的大规模供应链投毒攻击行动。该行动横跨 **npm、PyPI 和 Crates.io** 三大主流包生态，涉及 **34个以上恶意包**，累计发布 **384个版本**。攻击目标明确指向加密货币、DeFi、Solana、AI 及安全领域的开发者。攻击者的核心策略是利用各生态的原生执行机制——npm 的 `postinstall` 钩子、PyPI 的 `import` 入口点、Crates.io 的 `build.rs` 编译脚本——在包安装或编译阶段自动触发恶意逻辑。其最终目的是窃取 **SSH 密钥、区块链钱包配置、云凭据和浏览器登录态**等高价值数据。 ## 查找币监控系统的响应与发现查找币监控系统作为查找币自主研发的 Web3 威胁情报与动态安全监控系统，在发现该行动后立即启动全量标记机制，对涉及 PyPI、npm 和 Crates.io 三个生态的恶意包进行全面追踪。我们从中选取了三个代表性样本进行深度分析： - **PyPI 生态**：`git-config-sync`（伪装为 Git 配置同步工具） - **npm 生态**：`token-usage-tracker`（伪装为 Token 用量跟踪工具） - **Crates.io 生态**：`sui-framework-helpers`（伪装为 Sui Move 开发辅助库）通过完整还原攻击链——从入口触发机制、敏感数据收集范围、加密编码方式到外传通道与远端控制基础设施——我们将相关 IOC 已纳入查找币监控系统威胁情报库并推送至客户侧。 ## 攻击链总览 TrapDoor 行动的设计哲学是 **“一次开发，多生态复用”**。攻击者并非为每个包生态独立编写恶意逻辑，而是构建了一套统一的数据收集与外传框架，再通过各生态的原生执行钩子将恶意行为前置到安装或编译阶段。 ### 基础设施共享分层 - **Python 与 npm 样本**：通过远端配置 URL `ddjidd564.github.io/defi-security-best-practices/config.json` 构成硬关联 - **npm 样本**：额外利用同 GitHub 账号下的 `priority_targets.json`、传播脚本 `scan-bundled.js`、多个 `webhook.site` 回退接收点，以及统一攻击标记 **P-2024-001** - **Rust 样本**：代码中未硬编码上述 URL 或标记，归属关系依赖外部归因，代码层面未发现共享基础设施的直接证据 ### 基础设施选型分析攻击者刻意选择了开发环境中普遍加入白名单的合法服务作为外传通道： - **GitHub Pages (github.io)** 和 **GitHub Raw (raw.githubusercontent.com)**：开发者日常依赖的资源托管平台 - **api.github.com**：CI/CD 和开发工具的必经接口 - **webhook.site**：广泛使用的 webhook 调试服务这些域名在绝大多数企业网络、终端安全软件和防火墙规则中不会被拦截，恶意流量可以混入正常的开发通信中绕过出站限制。相比之下，使用自建 C2 域名或陌生 IP 反而容易被检测规则命中。 ## 深度技术分析 ### 1. 触发机制对比 | 生态 | 触发钩子 | 执行时机 | |------|----------|----------| | PyPI | `import` 入口点 | 用户导入包时 | | npm | `postinstall` 钩子 | 包安装完成后 | | Crates.io | `build.rs` 编译脚本 | 编译阶段 | ### 2. 数据收集范围三个样本均执行以下敏感数据窃取： - **SSH 密钥**：`~/.ssh/id_rsa`、`id_ed25519` 等 - **区块链钱包**：Solana CLI 钱包、Sui 钱包配置文件 - **云凭据**：AWS、Azure、GCP 凭据文件 - **浏览器登录态**：Chrome、Brave、Edge 等浏览器的 `cookies` 和 `Local State` - **环境变量**：包含 API 密钥、Token 等敏感信息的 `env` 文件 ### 3. 传播与持久化能力分化 - **Python 与 Rust 样本**：一次性窃取器，进程退出或编译结束后恶意行为即终止，不会在系统中留下持续运行机制 - **npm 样本**：具备完整的传播与持久化模块，通过修改 `.cursorrules`、`CLA` 等配置文件实现横向扩散 ## 威胁分析与影响评估 ### 目标群体画像攻击者精心选择目标群体，包括： - **加密货币开发者**：Solana、Sui 生态的智能合约开发者 - **DeFi 协议开发者**：依赖 npm 和 PyPI 包的前后端开发者 - **AI 研究人员**：使用 Python 生态的机器学习工程师 - **安全从业者**：可能使用相关工具的安全研究人员 ### 潜在损失一旦攻击成功，攻击者可获得： 1. **区块链钱包私钥**：直接控制受害者持有的加密资产 2. **云服务凭据**：访问受害者的云基础设施，可能引发数据泄露或资源滥用 3. **SSH 密钥**：横向渗透企业内部网络 4. **浏览器会话**：劫持已登录的 Web3 应用、交易所账户 ## 防护建议 ### 开发者端 1. **安装前验证包来源**：使用 `npm audit`、`pip install --require-hashes` 等工具校验包完整性 2. **限制安装钩子执行**：在 CI/CD 环境中禁用 `postinstall` 等自动执行机制 3. **监控出站流量**：对 GitHub Pages、webhook.site 等域名的出站流量设置告警 4. **使用沙箱环境**：在隔离环境中安装和测试新依赖包 ### 企业端 1. **部署供应链安全监控**：集成查找币监控系统等威胁情报系统，实时监控包生态异常活动 2. **建立包白名单机制**：仅允许经过审核的包版本在企业内使用 3. **定期审计依赖**：使用 `snyk`、`socket.dev` 等工具扫描项目中已知恶意包 4. **加强开发者安全意识培训**：警惕伪装为工具库的恶意包 ## 结论 TrapDoor 行动展示了供应链攻击的最新演进趋势：攻击者不再局限于单一生态，而是通过跨平台复用恶意框架，大幅提高攻击的覆盖面和成功率。其基础设施选型策略——利用白名单域名绕过检测——对传统安全防御体系构成严峻挑战。查找币安全团队将持续监控此类威胁，并通过查找币监控系统向客户提供实时情报与防护能力。 ### 相关 IOC ``` ddjidd564.github.io/defi-security-best-practices/config.json raw.githubusercontent.com/ddjidd564/defi-security-best-practices/gh-pages/scan-bundled.js raw.githubusercontent.com/ddjidd564/defi-security-best-practices/gh-pages/scan.js webhook.site/2ada14c8-00f6-43ce-9ad6-f5dc15952246 webhook.site/7513bf3d-7092-4739-bf15-a8f779a75546 webhook.site/d1652693-2eb8-4281-b9e8-cffff36da2f8 ``` --- **致谢**：感谢 Socket.dev 安全团队对 TrapDoor 行动的杰出研究与披露。本文由查找币安全团队整理发布

深度解析 TrapDoor 供应链攻击：跨生态凭据窃取行动的威胁分析与防护

查找币安全研究院

主题延伸阅读