Zod 4.6.6 遭供应链投毒
推荐指数 69.0 NO. 011 · 2026.10.12
发布2026/10/12Score136Comments34
为什么值得看
Zod 4.6.6 版本被植入恶意代码，运行后会从远程服务器下载并执行加密载荷，疑似针对以太坊私钥的窃取工具。这是近期最严重的 npm 供应链攻击之一，直接影响依赖该版本的 Node.js 项目安全。
编辑判断
这次攻击手法很精细：恶意代码伪装成正常构建产物，利用 eth_call 接口从区块链上动态获取 C2 域名，规避传统域名黑名单。payload 通过 base64 编码的 setup 脚本在内存中执行，落地后立即自毁。
更值得警惕的是攻击者的目标选择——Zod 是表单验证库，本身不接触加密资产，但攻击者可能通过分析依赖图谱，专门挑选被大量 Web3 项目使用的通用库下手。如果你在用 Zod，立刻检查 lockfile 锁定版本是否在 4.6.6，并审计过去 7 天内的 CI 构建日志是否有异常网络请求。
建议团队今天就把 npm 的 publish 权限改为 2FA 强制 + provenance 签名，同时考虑把关键依赖的自动更新策略从 "^" 改为精确版本 + 每周人工审核。
社区反馈
负面 30 条评论
核心争论：恶意代码虽被及时发现未发布到npm，但提交仍留在Git历史引发对项目安全治理的质疑。
The most recent version 4.6.6 has a very interesting commit (d821685) "Fix bugs and improve performance", that contain the following changes https://github.com/colinhacks/zod/commit/d821685ea6732436fcd... I didn't study what packages/mini/meta.test.mjs is doin
Not looking great is an understatement. You should raise more alarms at github. And people should try to reach the maintainers.
This might be a hint: const R=["https://eth.llamarpc.com","https://ethereum-rpc.publicnode.com","https://cloudflare-eth.com"]