Les risques d'attaques sur la chaîne d'approvisionnement dans les projets Open Source ne doivent pas être négligés. Récemment, la communauté de la sécurité a découvert que certains paquets de dépendances Open Source malveillants volaient les clés privées et les clés API des utilisateurs en cachant du code malveillant. Ce type d'attaque enfouit souvent la logique malveillante dans les niveaux de dépendance tiers du projet, rendant difficile la détection des indices en se contentant d'examiner le code source du projet principal.

Pour les développeurs Web3, ce type de risque est particulièrement dangereux - une fois que la clé privée est divulguée, les actifs peuvent être transférés instantanément. En termes de stratégies de défense, il est conseillé de privilégier les bibliothèques open source ayant une source fiable, une communauté active et un bon historique de maintenance. Pour la logique cryptographique de base et les modules de gestion des clés, la méthode la plus sûre est de les réimplémenter soi-même plutôt que de se fier directement à eux. De plus, il est également conseillé de mettre en œuvre des mesures telles que le scan régulier des versions des paquets de dépendance, l'utilisation d'outils d'audit de code et la restriction des permissions de dépendance.