导语：软件供应链安全再次拉响警报。一场名为TrapDoor的协调性跨生态供应链攻击正在肆虐，目标直指npm、PyPI和Crates.io三大包管理平台，已发现超过34个恶意软件包分布在384个版本中。 此次攻击活动最早记录于2026年5月22日UTC时间晚8点20分，攻击者通过集群账号快速连续向各大生态系统发布恶意包。安全公司Socket的研究人员表示，TrapDoor主要targeting加密货币、DeFi、Solana和AI社区的开发者。 恶意包的设计极其精密，旨在窃取开发者机密、加密货币钱包、SSH密钥、云凭证、浏览器数据和环境变量。多个npm包还部署了一个共享的有效载荷trap-core.js，该脚本会扫描凭证、验证AWS和GitHub令牌、尝试基于SSH的横向移动，并通过.cursorrules、CLAUDE.md、Git钩子、shell钩子、systemd、cron和SSH植入持久化机制。 这种攻击方式的危害性在于，开发者在不知情的情况下引入这些恶意包，会导致整个开发环境被渗透。一旦开发者的工作站被感染，攻击者就能获取其所有项目的访问权限，包括私有仓库、生产环境凭证等核心资产。 更令人担忧的是，TrapDoor攻击展示了供应链攻击的新趋势：跨生态系统协调。传统上，供应链攻击往往局限于单一平台，但此次攻击同时在三个主要包管理平台发动，大大增加了攻击面和影响范围。 对于开发者而言，防范此类攻击需要采取多层防护措施。首先，应该仔细审查所有引入的依赖包，检查其维护者信誉、下载量和代码变更历史。其次，使用软件成分分析（SCA）工具自动检测恶意依赖。第三，实施最小权限原则，限制开发环境的访问权限。最后，定期轮换凭证，避免长期暴露。 总结：TrapDoor供应链攻击事件再次敲响了软件供应链安全的警钟。在开源生态系统日益复杂的今天，开发者必须提高警惕，采取主动防护措施。包管理平台也需要加强安全审核机制，建立更严格的恶意包检测和响应流程，共同维护开源生态的安全。