NPM 套件遭惡意程式 IronWorm 供應鏈攻擊，針對 Crypto 與 Web3 開發者

npm 是 JavaScript／Node.js 開發常用的套件庫，專案往往自動下載相依套件；一旦維護者帳號或發布流程遭入侵，惡意版本便可能沿供應鏈進入開發機與 CI／CD。IronWorm 鎖定 Crypto、Web3 開發者持有的錢包、雲端與程式碼憑證，因此可能由單一套件擴散至更多專案與使用者。

JFrog於2026年6月4日揭露，IronWorm污染36個npm套件，搜尋86個環境變數及20個憑證檔，竊取AWS、npm、SSH與Exodus錢包資料。其以Rust撰寫，利用eBPF rootkit及Tor隱匿，並可經GitHub Actions外洩機密、自我傳播；Ox Security稱攻擊未波及熱門套件。