案例 kodane-npm-claude-drainerAI 辅助恶意软件2025年8月1日全球

AI编写的npm包@kodane/patch-manager在1500次下载后清空Solana钱包

Safety研究人员发现一个伪装成npm缓存管理器的钱包清空程序，其代码风格、表情符号和“Enhanced”标签指向由Anthropic的Claude生成；它藏身于缓存文件夹，保持C2持久连接并扫走Solana资金。

中利用 AI 的攻击状态: 已解决已核实案例档案

在交互式地图中打开引用此案例

报道日期: 2025年8月1日
地点: 全球
目标: 拥有Solana钱包的npm用户
严重程度: 中
发起者: npm用户“Kodane”
行为者类型: 犯罪团伙
已报告损失: 未报告
CVE: 无

发生了什么

影响: 下载量超过1500次；公开的C2服务器记录了钱包盗窃，但总损失未披露

谁发起了攻击

行为者: npm用户“Kodane”

归因: 由npm账户Kodane发布；Safety根据风格特征推断由Claude编写，未经确认；时间戳显示来源为UTC+5时区

动机: 加密货币盗窃

如何发生

攻击途径: npm postinstall脚本在Windows、macOS和Linux上投放隐藏载荷，带有后台C2连接和Solana清空脚本

根本原因: npm的postinstall自动执行，且审查者信任看起来干净、文档完善的AI生成代码

时间线

2025年7月28日@kodane/patch-manager发布；两天内连发19个版本
2025年7月30日npm在超过1500次下载后标记并移除该包
2025年8月1日Safety发布分析，将代码风格归于Claude

应对

软件包已从npm移除；Safety发布了入侵指标

当前状态: 已解决

来源（在新标签页打开）

The Hacker News thehackernews.com
Security Affairs securityaffairs.com

引用此案例

AI编写的npm包@kodane/patch-manager在1500次下载后清空Solana钱包. AI Threat Watch, 案例 kodane-npm-claude-drainer, 2025年8月1日. https://aithreat.io/zh/cases/kodane-npm-claude-drainer/

永久链接: https://aithreat.io/zh/cases/kodane-npm-claude-drainer/