PANews 5月3日消息，据慢雾区情报反馈，近期有黑客团伙利用恶意的npm包进行投毒盗取助记词和数字资产。受害者使用了opensea-wallet-provider` npm包，在使用助记词的时候，恶意的包会将助记词发送到攻击者的服务器上，从而窃取受害者的助记词。由于在 npmjs.com 上传 npm 包不需要进行审核，并且包的基础信息可以任意填写，因此攻击者可以构造恶意的 npm 包，并伪造npm包的基础信息混淆视听，骗开发人员安装恶意的包。建议排查代码中是否有使用到该恶意的`opensea-wallet-provider` npm 包。如果发现已使用，应及时转移资产并更换钱包助记词。用户还可以通过包的下载链接进行识别，一般开源的包会放在官方团队维护的 GitHub 仓库中。