每月 20 億次下載的信任危機！解密 npm「ChainDrop」供應鏈蠕蟲：當合法數位簽章成為駭客的最佳掩護

在現代軟體開發架構中，開發團隊很少從零開始撰寫每一行程式碼，而是廣泛引用全球開發者共享的「開源套件（Open Source Packages）」，這就像是蓋房子時向受信任的合格建材行採購現成模組；然而，如果連合格供應商的出貨管道都被駭客暗中調包，後果將不堪設想。

資安防禦大廠 OPSWAT 最新威脅研究報告指出，2026 年 8 月 4 日，知名的 JavaScript/Node.js 快取模組 keyv（每週下載量高達數億次）的維護者 GitHub 帳號遭到駭客入侵，攻擊者利用其官方發布管道，將名為「ChainDrop」的憑證竊取蠕蟲植入至其相關套件家族中（包含 cacheable、flat-cache、cache-manager 等）。

這場攻擊隨即擴散至數百個相關套件，業界估計受波及套件超過 1,300 個，每月全球安裝量總計超過 20 億次。OPSWAT 資深技術計畫經理 Vinh Lam 強調：「這場攻擊最致命的地方不在於下載數量，而在於惡意程式碼是如何輕易獲取系統信任的。」由於駭客是直接透過專案原本正規的自動化發布流程（CI/CD 流程）推送，使得受污染的惡意版本竟然具備「完全合法的官方數位簽章與來源證明」，對第一線工程師或傳統只檢查簽章的資安工具而言，這些受害套件看起來完全真實無虞，直接擊潰了企業對「官方來源」的固有信任。

ChainDrop 蠕蟲並非單一孤立事件，而是 Shai-Hulud 家族自 2025 年以來持續演進的系列攻擊之一，這提醒了我們：如果企業僅在事件爆發時手忙腳亂地修補單一漏洞，卻未從流程與架構上建立持續檢測機制，下一次新型態的供應鏈攻擊依然會找到可乘之機。

軟體供應鏈安全不再是一次性的專案，而是需要融入企業日常開發與維運流程（DevSecOps）的常態化機制，唯有透過自動化的動態檢驗工具與清晰的資產可視性，才能在不拖慢研發效率的前提下，為企業核心數位資產築起堅固防線。

面對瞬息萬變的開源軟體供應鏈威脅，單打獨鬥已不足以應對層出不窮的資安挑戰，橙鋐科技作為 OPSWAT 專業代理商，深耕台灣企業資安防護與關鍵基礎設施安全領域。我們的在地技術顧問團隊具備豐富的實務整合經驗，能協助企業評估軟體供應鏈風險、導入 MetaDefender 系列防禦架構，並建立完整的開源元件安全檢測流程，讓您的研發與維運團隊在擁抱開源生態系敏捷優勢的同時，兼顧企業級的資安韌性。

如需深入了解 OPSWAT MetaDefender Software Supply Chain 解決方案、進行軟體供應鏈資安健檢，或安排技術交流與產品展示，歡迎隨時與橙鋐科技專業團隊聯繫！