Os riscos de ataques à cadeia de fornecimento em projetos de código aberto não podem ser ignorados. Recentemente, a comunidade de segurança descobriu que alguns pacotes de dependência de código aberto maliciosos estão roubando as chaves privadas e as chaves de API dos usuários através da ocultação de código malicioso. Este tipo de ataque muitas vezes insere lógica maliciosa profundamente nas camadas de dependência de terceiros do projeto, tornando difícil detectar indícios apenas revisando o código-fonte do projeto principal.

Para os desenvolvedores de Web3, esses tipos de riscos são especialmente perigosos — uma vez que a chave privada seja vazada, os ativos podem ser transferidos em um instante. Em termos de estratégias de defesa, recomenda-se priorizar bibliotecas de código aberto que tenham origem confiável, comunidade ativa e um bom histórico de manutenção. Para a lógica de criptografia central e o módulo de gestão de chaves, a prática mais segura é reimplementá-los em vez de confiar diretamente. Além disso, medidas como escanear regularmente as versões dos pacotes de dependência, utilizar ferramentas de auditoria de código e restringir permissões de dependência também valem a pena ser implementadas.