Rust Blog
·
crates.io：恶意包faster_log和async_println
内容提要
2025年9月24日，crates.io团队发现两个恶意包faster_log和async_println，旨在窃取以太坊和Solana私钥。恶意代码已被删除，用户账户已禁用。感谢相关团队的报告与支持。
关键要点
-
2025年9月24日，crates.io团队发现两个恶意包faster_log和async_println，旨在窃取以太坊和Solana私钥。
-
faster_log于2025年5月25日发布，下载次数为7181次；async_println同样于2025年5月25日发布，下载次数为1243次。
-
恶意代码在运行时执行，而不是在构建时执行，这些包模仿合法包的源代码和功能，属于拼写欺骗。
-
相关用户账户已被立即禁用，恶意包已于2025年9月24日15:34 UTC从crates.io删除。
-
恶意包的代码在日志打包操作中插入了窃取私钥的功能，搜索特定格式的以太坊和Solana私钥。
-
恶意包将窃取的结果发送到指定的外部地址，且这些包没有其他依赖的下游包。
-
感谢Kirill Boychenko的报告，以及crates.io团队和Rust安全响应工作组的其他成员的支持。
延伸解读
恶意包的潜在影响
faster_log和async_println这两个恶意包通过模仿合法包的方式，成功吸引了用户下载。这种拼写欺骗手法使得开发者在不知情的情况下可能会将敏感信息暴露给攻击者，尤其是在处理以太坊和Solana私钥时。
用户应注意的安全措施
用户在使用第三方包时，应定期检查包的来源和更新记录，尤其是新发布的包。建议使用代码审查工具和安全扫描工具，以识别潜在的恶意代码，保护自己的项目和私钥安全。
crates.io的应对措施
crates.io团队迅速响应，及时禁用相关用户账户并删除恶意包，显示出其对安全问题的重视。这一事件提醒开发者和平台运营者，需加强对包的审核和监控，以防止类似事件再次发生。
延伸问答
faster_log和async_println这两个恶意包的目的是什么？
这两个恶意包旨在窃取以太坊和Solana私钥。
这两个恶意包是什么时候发布的？
这两个包均于2025年5月25日发布。
crates.io团队对这两个恶意包采取了什么措施？
相关用户账户已被禁用，恶意包已于2025年9月24日从crates.io删除。
恶意包是如何窃取私钥的？
恶意包在日志打包操作中插入了窃取私钥的功能，搜索特定格式的私钥。
这两个恶意包的下载次数分别是多少？
faster_log的下载次数为7181次，async_println的下载次数为1243次。
恶意包的代码是如何模仿合法包的？
这些包复制了合法包的源代码和功能，并使用相似的名称，属于拼写欺骗。
