黑客向JavaScript库注入恶意代码

尽管上周已经发现了恶意代码的存在，但直到今天安全专家才理清这个严重混乱的恶意代码，了解它真正的意图是什么。黑客利用该恶意代码获得(合法)访问热门JavaScript库，通过注射恶意代码从BitPay的Copay钱包应用中窃取比特币和比特币现金。

这个可以加载恶意程序的JavaScrip库叫做Event-Stream，非常受开发者欢迎，在npm.org存储库上每周下载量超过200万。但在三个月前，由于缺乏时间和兴趣原作者将开发和维护工作交给另一位程序员Right9ctrl。Event-Stream，是一个用于处理Node.js流数据的JavaScript npm包。

根据Twitter、GitHub和Hacker News上用户反馈，该恶意程序在默认情况下处于休眠状态，不过当Copay启动（由比特币支付平台BitPay开发的桌面端和移动端钱包应用）之后就会自动激活。它将会窃取包括私钥在内的用户钱包信息，并将其发送至copayapi.host的8080端口上。

目前已经确认9月至11月期间，所有版本的Copay钱包都被认为已被感染。今天早些时候，BitPay团队发布了Copay v5.2.2，已经删除Event-Stream和Flatmap-Stream依赖项。恶意的Event-Stream v3.3.6也已从npm.org中删除，但Event-Stream库仍然可用。这是因为Right9ctrl试图删除他的恶意代码，发布了不包含任何恶意代码的后续版本的Event-Stream。

建议使用这两个库的项目维护人员将其依赖树更新为可用的最新版本–Event-Stream版本4.0.1。此链接包含所有3,900+ JavaScript npm软件包的列表，其中Event-Stream作为直接或间接依赖项加载。