破防的不是代码，是人心：从 Axios 投毒事件看针对开发者的定向社交工程学绞杀
2026年3月31日，NPM每周下载量数千万次的基础网络库Axios遭受供应链攻击。攻击者利用被盗用的核心维护者Jason Saayman的账号，发布了注入远控木马（RAT）的恶意版本（1.14.1和0.30.4）。本文详细拆解了这场针对核心维护者长达数周的心理战与技术绞杀，揭示了黑客如何通过伪造身份、建立信任、制造焦虑等社交工程学手法，诱导开发者安装RAT，从而绕过2FA等安全防线，实现供应链投毒。
核心论点
现代黑客攻击的重点已从寻找代码漏洞转向攻击"写代码的人"。针对开发者的定向社交工程攻击，其破坏力远超传统的代码级攻击。
攻击时间线
- 数周前：攻击者锁定目标Jason Saayman，通过伪造身份建立信任
- 3月30日：攻击者用傀儡账号发布名为
plain-crypto-js的恶意包（内含跨平台RAT） - 3月31日 00:21 UTC：利用被控机器发布恶意版本
axios@1.14.1和axios@0.30.4 - 3月31日 03:15 UTC：协作者@DigitalBrainJS联系NPM官方下架恶意版本
关键教训
- 2FA在RAT面前形同虚设——会话劫持和隐蔽执行可绕过
- 开发者电脑上的长期Token是巨大安全隐患
- 开源社区的开放文化与安全要求之间存在根本张力
- 需要从架构层面消除"单点故障"
防御建议
- 废除本地长期凭证，全面拥抱OIDC
- 强制硬件密钥（FIDO2 / YubiKey）
- 流水线不可变与多签机制
- 保持偏执的"零信任"心态