Rust 套件 ArrayRef 遭供應鏈攻擊，疑為北韓駭客 BlueNoroff 所為

Rust 套件 ArrayRef 遭遇供應鏈攻擊，攻擊者透過相依套件的編譯指令碼載入惡意酬載；相關手法與基礎設施線索指向北韓駭客組織 BlueNoroff。這顯示開發者的工作環境已成為攻擊的直接目標。

編譯指令碼是這次攻擊的關鍵載體。Rust 的套件系統允許套件在編譯階段執行自訂的建置腳本，用於偵測系統環境、產生程式碼或連結原生函式庫——這是合法且必要的功能。但它也意味著，只要在專案中加入某個套件並執行編譯，該套件的建置腳本就會在開發者的機器上執行，且擁有與開發者相同的權限。

這種設計的風險在於信任的傳遞方式。開發者可能仔細檢視直接引入的套件，但一個現代專案的相依樹往往包含數十到數百個間接相依項；而攻擊者只需污染其中任何一個較不受關注的套件，惡意程式碼便會隨著編譯自動執行。這正是「相依的編譯指令碼」這個描述所指向的路徑。

開發者機器之所以是高價值目標，原因相當明確。這些機器上通常存放著程式碼庫的完整存取憑證、雲端服務的 API 金鑰、套件發布的權杖，以及內部系統的連線設定。取得一台開發者機器，往往等同於取得進入整個組織的鑰匙；而若該開發者具備套件發布權限，攻擊還能進一步向下游擴散。

BlueNoroff 這個組織的活動特徵，長期以來與金融相關目標密切關聯——加密貨幣交易所、區塊鏈專案與金融科技公司都曾是其目標。而近年這類組織的手法明顯轉向供應鏈——與其逐一攻擊防護嚴密的目標，不如污染這些目標共同依賴的元件。這種「一次污染、多處受害」的效率，正是供應鏈攻擊持續增加的原因。

從生態系的角度，這個問題並非 Rust 獨有。近期在其他語言的套件生態中也出現大量仿冒套件，內含針對瀏覽器與加密錢包資料的竊密程式；而不同語言的套件系統，多數都有類似的安裝或編譯時執行機制。這是現代開發生態的結構性弱點。

實務上的防護方向包括：鎖定相依版本並使用可重現的建置、在隔離的容器或虛擬環境中執行編譯、對相依樹進行定期掃描與稽核，以及對套件的發布權限啟用多因素驗證。這些措施無法完全消除風險，但能顯著提高攻擊的成本與被偵測的機率。

後續觀察重點包括：受影響專案的實際範圍、套件平台在建置腳本安全上的機制調整，以及類似攻擊在其他生態的擴散情況。