NIKKE启动器遭供应链投毒
推荐指数 63.0 NO. 031 · 2026.11.05
发布2026/11/04
简介
韩国热门游戏《胜利女神：NIKKE》的PC启动器通过被篡改的CDN JavaScript文件植入恶意代码，攻击者窃取浏览器密码、SSH密钥、AI服务令牌及加密货币钱包等敏感数据。AI从业者和开发者若曾在攻击期内启动游戏，需立即检查debug.log中的k2f_chan标记并全盘扫描，供应链安全再次敲响警钟。
编辑判断
这起攻击的精妙之处在于直接劫持游戏厂商的CDN分发渠道，而非传统的钓鱼或漏洞利用，说明攻击者已经摸清目标的技术架构。更危险的是恶意代码专门瞄准AI服务访问令牌和SSH密钥，显然对开发者群体有针对性，可能是为了进一步渗透企业代码库或云基础设施。
对AI团队来说，这暴露了一个盲区：很多公司会给员工配置游戏本或允许个人设备访问开发环境，边界正在模糊。建议立即排查团队中是否有NIKKE玩家，同时审查内部是否对AI服务令牌做了最小权限和短期轮换，而不是长期有效的API key躺在个人设备上。