据 Woofun AI 消息，区块链安全公司 SlowMist 发出紧急警报，指出攻击者正利用 GitHub 等平台上的虚假交易机器人代码库，大规模窃取私钥与登录凭证。此类攻击将恶意程序伪装成合法的自动化工具，专门针对频繁使用开发环境的加密货币从业者，导致浏览器 Cookie、保存密码及助记词等核心资产面临直接暴露风险。一旦用户安装这些经过伪装的 npm 工具包，设备即被判定为完全攻破，攻击者不仅能获取钱包控制权，还能通过 SSH 密钥和 API token 渗透至更多关联账户。

Woofun AI 整理数据显示，该攻击手段已覆盖从开发者工具到交易机器人的完整供应链，使得经验丰富的用户也难以在正规平台上识别异常。SlowMist 强调，受影响者必须立即重新生成所有敏感凭证，包括钱包私钥、npm token 及 SSH 密钥，并彻底废弃现有开发环境。

更关键的变量在于，攻击者利用 GitHub 的公信力降低用户警惕性，通过单一虚假代码库即可同时劫持多个账户，这种供应链攻击的隐蔽性远超传统钓鱼手段。受波及的用户需在干净且隔离的环境中从头构建开发系统，以根除残留的恶意程序，防止二次入侵。

这一事件标志着加密货币领域的安全威胁已从单纯的网络钓鱼转向针对开发基础设施的深度渗透。随着攻击手法不断进化，社区必须建立更严格的代码库核实机制，强制推行硬件钱包验证，并维持物理隔离的开发环境。若系统存在入侵嫌疑，立即执行凭证重置与环境重建是唯一有效的止损方案。