文章总结： dYdX官方SDK遭遇供应链投毒攻击，黑客疑似通过窃取开发者账号权限，向npm和PyPI推送了带毒版本。npm包(@dydxprotocol/v4-client-js的3.4.1、1.22.1等版本)植入助记词窃取代码，在开发者调用createRegistry()时窃取种子短语并回传至dydx.priceoracle.site；PyPI包(dydx-v4-client的1.1.5post1)除窃密外还包含经100次迭代混淆的远程访问木马(RAT)，连接C2服务器执行任意代码。建议立即排查依赖版本，隔离可疑设备，转移钱包资产并重置所有API密钥，生产环境务必使用lock文件锁定版本。 综合评分： 88 文章分类： 供应链安全,漏洞预警,恶意软件,威胁情报,Web3安全

别乱下包了！npm 和 PyPI 惊现双重投毒，专偷助记词，已有万人中招

原创

Hankzheng Hankzheng

技术修道场

2026年2月11日 07:51 广东

各位敲代码的兄弟们，全球顶尖的去中心化交易所 dYdX（交易量破万亿美元的那家）官方 SDK 居然被投毒了！这次黑客的手段极其老练，不仅横跨 npm 和 PyPI 两个生态，而且是直接冲着大家的“钱袋子”来的。如果你最近在做 Web3 开发，或者刚好在跑相关的自动化脚本，赶紧自查！

一、 官方 SDK “反水”：谁中招了？

这次被投毒的是 dYdX v4 的客户端工具包。黑客似乎拿到了官方的发布权限（疑似开发者账号泄露），直接推送了带毒的更新版本。

🚨 重点关注以下受损版本：

npm (@dydxprotocol/v4-client-js):3.4.1, 1.22.1, 1.15.2, 1.0.31
PyPI (dydx-v4-client):1.1.5post1

这意味着，如果你在 CI/CD 环境或者本地执行了 npm install 或 pip install，而且没锁死版本号，你可能已经把黑客的“后门”请进家里了。

二、 深度拆解：黑客的“定制化”投毒术

这届黑客非常硬核，他不是简单地写个脚本，而是针对 JS 和 Python 的特性搞了“双修”。

1. npm 端：精准收割“助记词”

在 JS 版本的恶意包中，黑客将恶意逻辑精准植入到了 registry.ts 等核心文件里。当开发者调用 SDK 进行交易签名、下单或管理钱包时，恶意代码会同步运行。它的核心目标只有一个：窃取助记词（Seed Phrases）。你前脚刚输入密钥，它后脚就通过 API 传回了黑客的服务器。

2. PyPI 端：钱包盗取 + 远程木马 (RAT)

Python 版的攻击更加丧心病狂。黑客在里面塞了一个完整的 远程控制木马：

• 100次混淆：

  为了躲避静态安全扫描，黑客对代码进行了 100 次迭代混淆，普通的安全工具根本扫不出来。

• 静默运行：

  在 Windows 上启动时使用了 CREATE_NO_WINDOW 标志。你以为后台在跑逻辑，其实黑客正通过后门看着你的桌面。

• 持久控制：

  木马会主动连接 dydx.priceoracle[.]site/py，等待黑客下达进一步的指令。

分析：

这套攻击逻辑最阴险的地方在于，恶意代码直接“长”在核心功能里。黑客甚至用了设备指纹识别，确保能精准锁定每一台被感染的肉鸡。

三、 避坑指南：如何保护你的年终奖？

作为资深搬砖工，我给大家总结了几条保命建议，建议收藏转发给组里的同事：

1. 立刻开启“大清洗”模式

检查你的 package.json 和 requirements.txt。如果发现受灾版本，请立即执行：

• 断网排查：

  怀疑中毒的机器立刻下线，不要再进行任何金融操作。

• 重置凭证：

  即使你已经删了包，也请务必更换所有的 API Key、环境变量，并把钱包里的钱转到干净的新地址。

2. 防范“幽灵包”与 npx 混淆

这次研究还发现了一个盲区：很多开发者习惯随手执行 npx some-tool。黑客会抢注一些官方没来得及注册的“高仿包”名。仅上个月，这类“影子包”的下载量就破万了。

秘籍： 执行 npx 时加上 --no-install 参数！

npx --no-install some-tool

这样如果本地没有这个包，它会直接报错，而不会去 npm 库里下载那个同名的“假货”。

3. 养成“锁死”习惯

在生产环境，永远、永远、永远（重要的事情说三遍）要使用 lock 文件。不要用 ^ 或 * 来匹配版本，那是在给黑客留门。

四、 碎碎念

说实话，这种官方包被投毒的事儿，防不胜防。现在的软件开发就像搭积木，底层的积木一旦坏了，上面的摩天大楼建得再漂亮也没用。

信任是好事，但在代码的世界里，“零信任”才是生存之道。

你平时在开发中会留意这些第三方包的版本吗？或者你们公司有什么牛逼的安全审计手段？

欢迎在评论区留言交流，咱们互相取取经，一起避坑！

觉得有用就点个“在看”吧，让更多兄弟避坑！👇

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：技术修道场 Hankzheng Hankzheng《别乱下包了！npm 和 PyPI 惊现双重投毒，专偷助记词，已有万人中招》