據 Woofun AI 消息，區塊鏈安全公司 SlowMist 發出緊急警報，指出攻擊者正利用 GitHub 等平臺上的虛假交易機器人代碼庫，大規模竊取私鑰與登錄憑證。此類攻擊將惡意程序僞裝成合法的自動化工具，專門針對頻繁使用開發環境的加密貨幣從業者，導致瀏覽器 Cookie、保存密碼及助記詞等核心資產面臨直接暴露風險。一旦用戶安裝這些經過僞裝的 npm 工具包，設備即被判定爲完全攻破，攻擊者不僅能獲取錢包控制權，還能通過 SSH 密鑰和 API token 滲透至更多關聯賬戶。

Woofun AI 整理數據顯示，該攻擊手段已覆蓋從開發者工具到交易機器人的完整供應鏈，使得經驗豐富的用戶也難以在正規平臺上識別異常。SlowMist 強調，受影響者必須立即重新生成所有敏感憑證，包括錢包私鑰、npm token 及 SSH 密鑰，並徹底廢棄現有開發環境。

更關鍵的變量在於，攻擊者利用 GitHub 的公信力降低用戶警惕性，通過單一虛假代碼庫即可同時劫持多個賬戶，這種供應鏈攻擊的隱蔽性遠超傳統釣魚手段。受波及的用戶需在乾淨且隔離的環境中從頭構建開發系統，以根除殘留的惡意程序，防止二次入侵。

這一事件標誌着加密貨幣領域的安全威脅已從單純的網絡釣魚轉向針對開發基礎設施的深度滲透。隨着攻擊手法不斷進化，社區必須建立更嚴格的代碼庫覈實機制，強制推行硬件錢包驗證，並維持物理隔離的開發環境。若系統存在入侵嫌疑，立即執行憑證重置與環境重建是唯一有效的止損方案。