供应链

ChainCatcher 消息，据 Digital Asset 报道，安全平台 OpenSourceMalware 在 10 月 21 日的节目中披露，朝鲜关联黑客组织使用名为 Contagious Interview 的手法，以加密行业招聘为诱饵，通过 LinkedIn 联系求职者，并邀请其访问私有代码仓库、安装开发任务所需的软件包。攻击者在仓库中设置 .npmrc 配置文件，使 npm 从指定外部软件包仓库而非公共注册表下载依赖，从而可能在安装过程中执行恶意代码，并降低被公开安全扫描发现的概率。OpenSourceMalware 联合创始人 Paul McCarty 表示，近期观察到攻击者采用此类手法。目前尚未披露具体受害者数量、受影响企业或数字资产损失金额。

ChainCatcher 消息，上海金融监管局印发《推动上海银行业保险业数字金融高质量发展的若干措施》，提出运用大数据、区块链等技术稳步拓展供应链金融服务。措施提出，规范发展应收账款融资、供应链票据融资、仓单质押融资、订单融资等产品，并持续深化对先进制造业的保险服务布局，提升综合风险保障能力。

ChainCatcher 消息，据慢雾披露，LiteLLM 再次遭遇供应链攻击，恶意版本 litellm@1.107.0 波及 PyPI 包及 Docker 镜像，包括 latest、main-stable 等浮动标签。注入的恶意代码会在 Python 启动时自动执行，窃取云凭证、AI API 密钥、SSH 私钥等敏感数据，并支持远程代码执行。受影响版本已被移除或替换。慢雾建议用户避免使用 1.107.0 版本，从干净镜像重建受影响环境，轮换可能泄露的凭证，并将版本固定至 1.106.2。

ChainCatcher 消息，美光科技计划投资至多 30 亿美元，以强化美国半导体供应链。

ChainCatcher 消息，英伟达 PC 高级副总裁杰夫·费舍尔在 RTX Spark 发布会上表示，RTX 5090 显卡并未停产，仍为核心产品并将持续供货。 他承认供应链产能受限，但英伟达正努力确保产品顺利上市。

ChainCatcher 消息，科技记者马克·古尔曼表示，苹果在供应不足的情况下提前推出 iPhone Duo，以便尽早上市。预计至少要到 11 月才能获得较为充足的供货。苹果未透露线下门店发售首日是否有现货供应。

ChainCatcher 消息，慢雾发文表示，一场虚假的“Ledger 固件更新”活动正在利用近期 Ledger 供应链事件进行攻击。该钓鱼页面高度仿真，包括虚假的“Genuine check（真品检查）”页面、设备选择界面以及“立即更新”按钮。慢雾提醒，切勿通过网站链接更新 Ledger 设备，也不要在任何地方输入助记词（Recovery Phrase）。

ChainCatcher 消息，据 Bitcoin News 监测，Bitcoin News 发布播客，Mt. Gox 前 CEO Mark Karpelès 与 Foundation CEO Zach Herbert 讨论加密行业历史上规模最大的供应链攻击。 Mark Karpelès 表示，他在资金被盗前 3 周发现间谍植入物并联系 Ledger，但未获回应。该植入物内置隐藏蜂窝调制解调器，可直接读取屏幕上的助记词，并通过 Ledger 自身的检查；即使设置密码短语也无法避免助记词被窃取。 Mark Karpelès 表示，若有 500 万美元，他可以制造出需要通过 X 光才能发现的植入物。节目还讨论了硬件钱包经销商模式、攻击背后的马来西亚经销商、被盗加密资产的链上追踪、攻击向欧洲扩散、Trezor 未成为目标的原因、硬件钱包安全以及多方计算方案。节目时间轴显示，硬件钱包被盗金额达 1 亿美元，其中 24 小时内有 8600 万美元被转出。

ChainCatcher 消息，硬件钱包厂商 Trezor 表示，鉴于近期发生的供应链安全事件，决定减少经销商数量，以便更有效地审查合作伙伴。 目前没有任何证据表明 Trezor 设备遭到入侵。此次调整是出于谨慎考虑而采取的预防性措施。

ChainCatcher 消息，加密社群用户 Johannes 发文称，其在欧洲零售商 MediaMarkt 不同门店购买的两台 Ledger 硬件钱包均发现疑似间谍软件及硬件改装，包括额外线缆和 LTE 模块，并呼吁 Ledger 立即召回相关产品。Johannes 表示，MediaMarkt 员工确认第二台设备并非退货商品，退回的 Ledger 产品会直接送回制造商，而非重新作为新品出售。门店记录显示，相关库存来自供应商 Aqipa GmbH。由于该公司在欧洲开展分销业务，Johannes 怀疑问题可能涉及更广泛的零售库存，但目前尚无证据证实欧洲范围内的 Ledger 供应链已普遍遭到入侵。Johannes 称，已将第一台设备交给相关人员分析，并计划将第二台设备寄送给 Ledger 调查，同时发布了开箱视频作为证据。他提醒用户，若通过 Ledger 官方渠道以外的商家购买设备，应检查设备是否存在异常。目前，上述说法主要来自该用户的个人披露，设备受损原因、影响范围及是否涉及供应链攻击仍有待 Ledger 等相关方核实。

ChainCatcher 消息，据 X 用户@0xJohannes 表示，一台数周前从欧洲官方经销商处购买的 Ledger 硬件钱包被发现含有未经授权的间谍植入装置。该设备内部存在正品 Ledger 硬件不具备的可疑线路，显示其在售出前可能遭到物理篡改。 该植入装置疑似为旧版本，新版本通常将组件隐藏在屏幕后方。此次受影响设备中的资金尚未被盗取。目前亚洲、南美洲和欧洲均有疑似案例报告。若原有安全元件保持完整，Ledger 软件的 Genuine Check 无法检测未经授权的物理改装。

ChainCatcher 消息，加密分析师 Darkfost 发文称，在 Ledger 经销商 CryptoBilis 遭遇安全事件后，社区讨论中还出现了其他可能相关的经销商名称，包括部分 Lazada 商家。 Darkfost 表示，目前事件影响范围仍难以完全确认。尽管 Ledger 已确认与 CryptoBilis 事件存在关联，但尚无法确定 CryptoBilis 是否是唯一受影响的经销商。他整理了一份可能存在风险的 Ledger 经销商名单，称这些经销商因区域接近，存在供应链同时遭到破坏的可能性。不过，Darkfost 强调上述判断仅为推测，目前尚未得到确认。 Darkfost 建议，如果用户在过去 6 个月内从相关经销商购买过 Ledger 设备，在事件调查结束前可考虑将资产转移至其他安全设备。同时，他表示，用户也可参考安全研究人员 MagicalTux 发布的指南，自行检查 Ledger 设备是否存在被篡改迹象。

ChainCatcher 消息，10 月 9 日有报道称，存储芯片成本大幅上涨迫使苹果提价并抑制需求，苹果已要求部分供应商削减新近发布的 iPhone 18 Pro 和 iPhone 18 Pro Max 零部件产量。记者向苹果供应链公司求证，一家供应链公司人士称，苹果给出新的出货指引后，iPhone 18 Pro 订单有所减少，但 iPhone 18 Pro Max 订单有所增加，整体订单量变化不大。另一家供应链公司人士称，传闻存在明显片面性。因 iPhone 18 Pro Max 需求强劲，苹果将部分 iPhone 18 Pro 订单调整至 iPhone 18 Pro Max，总量没有减少，并有利于 Pro Max 高端机供应链。9 月苹果发布 iPhone 18 Pro 系列，因产品规划调整暂未推出 iPhone 18 基础款，本次推出的两款机型起售价分别为 9999 元、10999 元，较 iPhone 17 Pro 系列有所上涨。9 月中旬首销时，记者在深圳苹果官方零售店外看到，iPhone 18 Pro 回购行情偏淡，部分黄牛不收购，甚至回购价低于官方起售价。目前 iPhone 18 Pro 货源相对充足，店员表示 512GB 仅黑色款有货，其他内存版本货源充足，iPhone 18 Pro Max 线下还未开放购买。

ChainCatcher 消息，赵长鹏发文提醒 Ledger 硬件钱包用户提高警惕，尤其是近期购买设备的用户。根据目前掌握的信息，此次事件似乎局限于供应链环节，涉及一家供应商，少数用户可能买到了假冒或遭篡改的 Ledger 设备。 赵长鹏表示，Ledger 是行业内历史悠久、安全性较高的硬件钱包品牌，但仍可能发生此类事件。他预计并呼吁 BNB 生态及整个加密行业协助追踪被盗资金并推动追回。 此前 Ledger 确认正调查一起涉及东南亚用户的资产被盗事件，相关用户曾通过经销商 CryptoBilis 购买设备。Ledger 已要求 CryptoBilis 暂停销售及发货，并建议过去 90 天内通过该经销商购买设备的用户暂勿初始化设备；若已完成设置，应使用新的助记词创建新的 Ledger 签名设备，并将资产转移至新钱包。 链上调查员 Specter 估计，此次事件已导致比特币、以太坊和波场网络上数百个钱包被盗，损失超过 8600 万美元。安全研究员 tanuki42 此前估计损失已超过 7200 万美元，并表示金额仍在增加。目前，事件具体原因及涉事设备是否存在安全漏洞仍有待调查确认。

ChainCatcher 消息，AMD CEO 苏姿丰表示，AMD 将在全球供应链范围内总计投资数百亿美元。

ChainCatcher 消息，欧盟委员会发言人 Olof Gill 表示，欧盟对美国计划禁止柴油出口的消息表示担忧，称此类供应中断可能对双方市场造成负面影响。Gill 强调，欧盟与美国政府的高层接触仍在持续，希望在采取影响共同市场的措施前能相互磋商。

ChainCatcher 消息，供应链人士称，台积电晶圆代工价格确定再涨，并已确定自 2027 年 1 月起按不同制程调整 Wafer Out 价格，涨幅约 3% 至 6%。8 吋厂产能利用率超过 100%，45 奈米以下制程满载，订单能见度已至 2030 年。先进制程涨幅较高，成熟及特殊制程则依产品、稼动率及客户状况个别议价，台积电不回应市场传闻。供应链人士称，台积电 2 奈米、3 奈米供不应求，CoWoS 等先进封装产能吃紧压力未解除，客户即使面对价格上调也不易立即转换供应商。美国亚利桑那州厂反映较高制造成本，代工报价维持高档。调价后，三星电子、英特尔、联电、世界先进等晶圆代工厂，以及封测厂和 IC 设计客户的报价也可能受牵动。联电、力积电、世界先进已宣布涨价策略，涨价将延续至 2027 年。供应链称，此波 AI 需求除 GPU、ASIC 及 HBM 外，也增加 PMIC、MCU、驱动 IC、类比 IC 及传感器等需求。IC 设计业者指出，晶圆价格调高后需重估产品成本，高阶 GPU、ASIC 转嫁空间相对较大。台积电董事长魏哲家曾表示，客户选择晶圆代工伙伴不是今天不满意明天就换一家。供应链称，Google、苹果、NVIDIA 等转单多属非核心芯片或规模有限订单，主要高阶制程客户投片未出现明显变化。

ChainCatcher 消息，瑞银策略师指出，Meta 面向消费者的新型 AI 智能体 Muse 广受欢迎，预示着 AI 供应链的产品需求将增长。策略师表示，AI 产品领域竞争激烈，将推动算力和 AI 基础设施需求，利好半导体及硬件行业龙头企业。