Los riesgos de ataques a la cadena de suministro en proyectos de código abierto no deben ser ignorados. Recientemente, la comunidad de seguridad ha descubierto que ciertos paquetes de dependencias maliciosos de código abierto roban las llaves privadas y llaves de API de los usuarios ocultando código malicioso. Este tipo de ataque a menudo entierra la lógica maliciosa en los niveles de dependencias de terceros del proyecto, lo que hace que sea difícil detectar indicios al revisar únicamente el código fuente del proyecto principal.

Para los desarrolladores de Web3, este tipo de riesgo es especialmente peligroso: una vez que la llave privada se filtra, los activos pueden ser transferidos al instante. En términos de estrategias de defensa, se recomienda elegir primero bibliotecas de código abierto que sean de fuentes confiables, tengan comunidades activas y un buen historial de mantenimiento. Para la lógica criptográfica central y el módulo de gestión de llaves, la práctica más segura es implementarlo uno mismo en lugar de depender directamente de soluciones existentes. Además, medidas como escanear regularmente las versiones de los paquetes de dependencia, utilizar herramientas de auditoría de código y limitar los permisos de dependencia también valen la pena ser implementadas.