React bug 触发钱包被盗攻击，黑客攻击加密货币网站

一项关键的React服务器组件远程代码执行（RCE）漏洞正被武器化，用于劫持服务器、窃取加密钱包、植入门罗币矿工，并加剧尽管紧急修补请求仍在持续的$3B 2025盗窃浪潮。

摘要

• 安全联盟和谷歌TIG表示，攻击者利用React服务器组件中的CVE-2025-55182漏洞执行任意代码、窃取许可签名，并窃取加密钱包。
• Vercel、Meta和框架团队迅速推出补丁和WAF规则，但研究人员发现了两个新的RSC漏洞，并警告JavaScript供应链风险，如Josh Goldberg的npm黑客攻击仍在持续。
• 全球账本报告在2025年上半年发生的119起黑客事件中，超过$3B 的资金被盗，资金在几分钟内通过桥接和门罗币等隐私币洗钱，只有4.2%的资产被找回。

React服务器组件中的一个严重安全漏洞引发了加密行业的紧急警告，威胁行为者利用该漏洞窃取钱包并部署恶意软件，据安全联盟称。

安全联盟宣布，加密钱包被窃取者正积极利用CVE-2025-55182，敦促所有网站立即检查其前端代码是否存在可疑资产。该漏洞不仅影响Web3协议，还影响所有使用React的网站，攻击者针对跨平台的许可签名。

安全研究人员指出，用户在签署交易时面临风险，因为恶意代码会拦截钱包通信并将资金重定向到攻击者控制的地址。

React的官方团队于12月3日披露了CVE-2025-55182，评分为CVSS 10.0，此前在11月29日通过Meta漏洞赏金计划由Lachlan Davidson报告。该未授权远程代码执行漏洞利用React解码发送到服务器功能端点的有效载荷的方式，使攻击者能够构造恶意HTTP请求，在服务器上执行任意代码，披露中指出。

React新版本

该漏洞影响React版本19.0、19.1.0、19.1.1和19.2.0，涉及react-server-dom-webpack、react-server-dom-parcel和react-server-dom-turbopack包。包括Next.js、React Router、Waku和Expo在内的主要框架需要立即更新，安全公告中指出。

补丁已在版本19.0.1、19.1.2和19.2.1中推出，Next.js用户需在多个版本线上升级，从14.2.35到16.0.10，具体请参阅发布说明。

研究人员在尝试利用补丁时发现了React服务器组件中的两个新漏洞，报告指出这些是新的问题，独立于该关键CVE。研究人员表示，React2Shell的补丁仍然有效应对远程代码执行漏洞。

Vercel部署了Web应用防火墙（WAF）规则，以自动保护其平台上的项目，但公司强调仅靠WAF保护仍不足够。Vercel在其12月3日的安全公告中表示，必须立即升级到已修补的版本，漏洞影响处理不可信输入、可能导致远程代码执行的应用。

谷歌威胁情报组记录了从12月3日开始的大规模攻击，追踪到从机会主义黑客到政府支持行动的犯罪团伙。报告显示，中国黑客组织在被攻陷的系统上安装了各种恶意软件，主要针对亚马逊Web服务和阿里云的云服务器。

谷歌威胁情报组指出，这些攻击者采用多种技术以维持对受害系统的长期访问。一些团伙安装了创建远程访问隧道的软件，另一些则部署持续下载伪装成合法文件的恶意工具。研究人员报告称，这些恶意软件隐藏在系统文件夹中，自动重启以避免被检测。

以财务为目的的犯罪分子从12月5日开始加入攻击浪潮，安装利用受害者计算能力挖掘门罗币的矿工软件。这些矿工在后台持续运行，增加电费支出，同时为攻击者带来利润。地下黑客论坛迅速充满了分享攻击工具和利用经验的讨论。

React漏洞发生在9月8日，当时黑客攻破Josh Goldberg的npm账户，发布了包括chalk、debug和strip-ansi在内的18个广泛使用包的恶意更新。这些工具每周下载量超过26亿，研究人员发现了拦截浏览器功能的加密夹子（crypto-clipper）恶意软件，用以将合法的钱包地址替换为攻击者控制的地址。

Ledger首席技术官Charles Guillemet将此次事件描述为“规模庞大的供应链攻击”，建议没有硬件钱包的用户避免链上交易。攻击者通过假冒npm支持的钓鱼活动获得访问权限，声称账户将在9月10日之前被锁定，除非更新两因素认证凭据，Guillemet表示。

黑客正加快窃取加密货币的速度，据行业数据显示，一次洗钱过程仅需2分57秒。

全球账本数据显示，2025年前半年，黑客在119起事件中盗取了超过$3 十亿资金，70%的资金在被公开前已被转移。报告指出，只有4.2%的被盗资产被找回，因为洗钱时间已从小时缩短到几秒。

使用React或Next.js的组织被建议立即升级到19.0.1、19.1.2或19.2.1版本，部署WAF规则，审查所有依赖项，监控网络流量中由Web服务器进程发起的wget或cURL命令，并查找未授权的隐藏目录或恶意的Shell配置注入，安全公告中建议。