北韓駭客涉對NPM開源套件發動供應鏈攻擊鎖定加密貨幣

PolinRider是北韓駭客組織Contagious Interview（亦稱Famous Chollima）自2025年12月持續推動的軟體供應鏈攻擊。其藉假徵才與遭入侵的開源維護者帳號滲透開發環境，目的在竊取企業憑證、原始碼及加密貨幣錢包，風險可沿套件依賴擴散至企業CI/CD系統。

2026年7月7日，iThome引述Socket調查指出，PolinRider已滲透NPM、Packagist、Go模組及Chrome Web Store的108個套件，發布162個惡意版本，活動仍持續。同日JFrog另揭露6款偽裝Rollup工具的NPM惡意套件；目前尚無受害人數或損失金額統計。

npm 是 JavaScript／Node.js 開發常用的套件庫，專案往往自動下載相依套件；一旦維護者帳號或發布流程遭入侵，惡意版本便可能沿供應鏈進入開發機與 CI／CD。IronWorm 鎖定 Crypto、Web3 開發者持有的錢包、雲端與程式碼憑證，因此可能由單一套件擴散至更多專案與使用者。

JFrog於2026年6月4日揭露，IronWorm污染36個npm套件，搜尋86個環境變數及20個憑證檔，竊取AWS、npm、SSH與Exodus錢包資料。其以Rust撰寫，利用eBPF rootkit及Tor隱匿，並可經GitHub Actions外洩機密、自我傳播；Ox Security稱攻擊未波及熱門套件。