繼上月成功攻擊 arrayref crate 後，Rust 安全團隊宣布有一場針對知名 Rust 開發者的持續性活動，透過視訊通話誘導受害者安裝惡意軟體或執行指令。 攻擊者利用社交工程，在面試或專案會議中聲稱缺少音訊編解碼器或透過剪貼簿執行指令，社群建議實施依賴套件降溫機制（dependency cooldowns）以降低風險。

事件背景

供應鏈攻擊是指軟體專案中的第三方元件遭到入侵，使攻擊者能夠向下游應用程式注入惡意程式碼。arrayref crate 先前遭到攻擊，其維護者的帳號被劫持並發布了依賴於字形相似套件 proc-macro1 的版本。

社群觀察

社群強調，依賴套件降溫機制（即延遲升級新發布的套件）是目前最佳的防禦手段，能為其他開發者提供時間來發現受損 crate 中的異常情況。