一名主要的NPM开发者qix的账户已被入侵。该账户被用来推送恶意软件，该恶意软件专门针对并搜索用户设备上的比特币和加密货币钱包。一旦被检测到，该恶意软件会修改用于协调交易签名的代码功能，并将用户试图发送资金的地址替换为恶意软件创建者自己的地址。
这主要应该是网页钱包用户需要关注的问题，特别是在比特币生态系统中的Ordinals或Runes/其他代币用户，除非您的普通软件钱包刚好在今天早些时候推送了带有受损依赖项的更新，或者如果您的钱包直接从钱包后端动态加载代码绕过应用商店，否则您应该没有问题。
NPM是Node.js（一个流行的Javascript框架）的包管理器。这意味着它被用来获取大量预先编写的代码，这些代码用于常见功能，可以集成到不同的程序中，而开发者不必自己重写基本功能。
被攻击的包并非专门针对加密货币，而是被无数基于Node.js构建的普通应用程序使用的包，不仅仅是加密货币钱包。
如果您正在结合使用硬件钱包和网页钱包，请格外小心，在签署任何内容之前，在设备本身上验证您要发送到的目标地址是否正确。
如果您在网页钱包本身中使用软件密钥，建议在确定您没有运行易受攻击版本的钱包之前，不要打开它们或进行交易。最安全的做法是等待您使用的钱包开发团队发布公告。
来源：https://bitcoinmagazine.com/news/npm-attack-javascript-library-compromise-goes-after-bitcoin-wallets
