Trivy 遭供應鏈攻擊，駭客利用 ICP 區塊鏈智慧合約作為 C2 通訊

Trivy 是 Aqua Security 維護的開源漏洞掃描工具，廣泛整合於 GitHub Actions 等軟體交付流程。此次供應鏈攻擊可藉受信任工具滲透開發環境，竊取 API 金鑰與憑證，並利用 Internet Computer（ICP）區塊鏈智慧合約隱匿指揮控制通訊，增加封鎖與追查難度。

3月24日資安通報指出，駭客組織 TeamPCP 入侵 Trivy 的 GitHub Actions 流程並散布竊資惡意程式，同時對 NPM 儲存庫發動供應鏈攻擊。後續調查發現 CanisterWorm 蠕蟲以 ICP Canister 作為 C2 情報交換中心，受影響範圍已超過1萬個工作流程；目前未公布確切財務損失。