有數千個加密貨幣錢包在週一陷入危險，原因是一名駭客入侵了 Ripple 官方的 XRP 分帳本 JavaScript 函式庫，並插入了專門用於竊取私鑰與錢包憑證的惡意代碼。
必須知道的資訊：
- 資安研究人員於週一美東時間下午 4:46 至 5:49 之間，在 xrpl.js 函式庫中偵測到未經授權的程式碼
- 惡意程式碼能將錢包種子和私鑰傳送至駭客控制的伺服器
- 主要 XRP 專案已確認平台安全，但下載受影響版本的使用者需立即轉移資產
資安事件細節
這個漏洞由專注於加密貨幣資安的 Aikido 公司發現，研究人員在官方 Node Package Manager 的 xrpl.js 發行版本內找到可疑代碼。
在這一小時的時間內，發布於 NPM 登錄中心的多個函式庫版本都包含能危及用戶錢包安全的後門功能。
發現此漏洞的資安研究員 Charlie Eriksen 表示，這次事件對加密貨幣供應鏈可能構成災難性風險。遭到竄改的套件可以竊取敏感錢包憑證，並直接傳送給駭客所控制的伺服器。攻擊者可藉此取得受影響錢包的控制權，並可能直接提取所有數位資產。
Eriksen 在資安公告中提醒：「如果你懷疑曾與受損代碼互動，請假設你的錢包私鑰已經曝光。受影響的金鑰應立刻註銷，並將資產轉移至新錢包。」
根據熟悉本案的資安專家指出，此漏洞的影響範圍僅限於在事件期間下載並整合受污染版本的服務。未於該時段更新依賴套件的應用程式及專案，理論上不受影響。
幾個知名的 XRP 生態系，如 Xaman Wallet 和 XRPScan，都已發布聲明證實平台安全。然而，整個加密貨幣產業的資安專家仍強烈呼籲所有用戶和開發者需提高警覺。
回應與補救措施
XRP Ledger Foundation 的工程師在發現漏洞後立即採取行動。安全更新版的 xrpl.js 函式庫隨即發布，已有效取代 NPM 先前的惡意套件。開發團隊強調，所有用戶及專案應立即升級至最新無惡意程式碼的版本，以防遭受攻擊。
官方聲明中，XRP Ledger Foundation 承諾在完成內部安全審查後，將公開完整的事後分析報告。
該分析預計會揭露更多攻擊途徑細節，並提出防範未來同類事件的措施。
在此期間，所有依賴 xrpl.js 的專案開發者都被強烈建議全面稽核原有程式碼，以檢查是否曾曝露於受損版本。此項建議之急迫性反映該漏洞的嚴重性。
事件之所以格外重要，是因為 xrpl.js 在 Ripple 生態系被廣泛採用。作為 XRP Ledger Foundation 官方 JavaScript 區塊鏈互動函式庫，它支援了許多關鍵功能，包括錢包操作、代幣轉帳等，應用於無數服務。
在事發前一週下載次數超過 14 萬次，這支套件的熱門程度凸顯了若惡意代碼持續存在，恐造成的嚴重災害。資安分析師指出，正是因為及時發現，才大幅縮減了潛在損失。
這起資安事件再度說明供應鏈攻擊在加密貨幣產業日益猖獗。此類攻擊正是利用該行業強烈依賴廣泛使用開源套件的弱點，一旦遭入侵，經濟損失甚鉅。
結語
對 xrpl.js 函式庫的疑似竄改能被快速偵測並因應，成功避免 XRP 生態系出現大規模財損。該事件也再次提醒我們，區塊鏈基礎設施存在的資安風險，以及持續嚴密監控開源依賴的重要性。