Solana 底層 Rust 套件被下毒：編譯一次就中招，2 小時內下架

Solana 與部分以太坊的工具鏈都用 Rust 寫成，套件放在官方倉庫 crates.io，專案編譯時自動抓下來。這些套件可以夾帶一段編譯期就會執行的程式碼，只要專案間接依賴到，開發者沒主動呼叫也會跑到。arrayref 就是壓在底層的這種套件，404 個套件把它列為依賴，Solana 的 spl-token 也在其中。

8 月 20 日，攻擊者把 arrayref、internment 與 append-only-vec 的新版本推上 crates.io，每一個都多了一項十年來沒有過的依賴，編譯時會去抓一支遠端程式執行。Rust 安全應變小組在 86 到 107 分鐘內全部下架。資安公司 Wiz 說這批基礎設施與北韓相關團體的舊攻擊重疊，程式會讀取瀏覽器存的登入清單。已有 Solana 協議開發者說自己編譯時中招，事後換掉了密碼。