Rust 基础库 arrayref 遭供应链攻击，疑似系朝鲜黑客所为

ChainCatcher 消息，据 Cryptopolitan 报道，攻击者通过供应链攻击发布了三个广泛使用的 Rust 代码包恶意版本，其中名为 arrayref 的库被约四分之三的 Rust 开发环境使用。恶意更新隐藏了一个后门，可在用户编译项目时自动窃取登录信息，编译过受影响版本的用户可能已暴露电脑和密钥。

Wiz 研究人员指出，arrayref 攻击的命令与控制路径与朝鲜黑客组织 Sapphire Sleet 和 UNC1069 使用的 Mastra 行动重叠，IP 地址共享同一安全证书且使用同一托管商 Hostwinds。攻击者仅新增了拼写错误的 proc-macro1 依赖，模仿流行的 proc-macro2，未修改原有代码，使其通过测试和构建。攻击在发布 86 分钟后被删除，但已被大量下载。受影响包在 Solana 和 Ethereum 工具中广泛使用。Rust 团队认为维护者非恶意行为，其设备或凭证可能遭入侵。