供应链

ChainCatcher 消息，据金十报道，美光科技 (MU.O)表示，计划投资 30 亿美元，以强化美国本土半导体供应链。

ChainCatcher 消息，物流供应链 RWA 平台 CARFI 宣布，BVI 公司 Apex Logistics Technology Co., Ltd. 正式推出票据代币化产品 CFUSD，并由 CARFI 提供发行服务。该项目部署于币安链（BNB Chain）。 CFUSD 底层资产包括物流应收账款、贸易融资资产、供应链金融贷款、其他应收账款及经审核的短久期固定收益类资产，拥有稳定现金流支撑。

ChainCatcher 消息，7 月 1 日，据 WEEX TradFi 数据显示，近期美股科技板块表现分化，资金持续关注具备实际落地预期的 Physical AI、机器人及相关供应链方向。其中，AMD 24H 涨约 7.7%，Symbotic（SYM）涨超 6.6%，Texas Instruments（TXN）涨约 4.4%，NVIDIA（NVDA）涨约 2.6%，Tesla（TSLA）涨约 2.1%，Analog Devices（ADI）涨约 1.4%。 WEEX Labs 认为，市场资金正从单一算力叙事向具备落地预期的 Physical AI 供应链核心环节扩散，包括特斯拉 Optimus 产线改造、英伟达 Physical AI Day 等事件持续强化软硬件协同预期，相关板块关注度提升。

ChainCatcher 消息，据蓝鲸科技报道，由中兴通讯与字节跳动共同推进的新一代豆包 AI 手机或因备案认证流程问题，较原定预期的二季度推迟发布。知情人士透露，该款手机需同时通过网信办的大模型备案与工信部的入网认证，目前产品仍处于第二次申请备案状态。若审批顺利，新机最快将于今年 7 至 8 月面世。 在供应链方面，新一代豆包手机的屏幕供应商已由深天马更换为京东方，电池采用德赛电池及 ATL 电芯，并由福日电子旗下中诺通讯负责代工。此外报道指出，该产品主要采用大模型深度植入操作系统底层的技术路线，但在实现系统级 Agent 跨应用调用时，目前仍面临腾讯、阿里等头部平台尚未开放相关数据权限的生态壁垒挑战。

ChainCatcher 消息，慢雾发文表示，140 余个 Mastra 相关 npm 软件包遭供应链攻击，受影响版本会引入恶意依赖 easy-day-js@1.11.22，并在安装阶段触发攻击者控制的代码执行。

ChainCatcher 消息，白毛股神发文表示，英伟达和谷歌正推进 800V 直流（DC）电源架构的提前应用，预计相关小批量出货将提前至 2026 年第三季度启动。据悉，该技术将率先应用于英伟达的 Vera Rubin 平台以及谷歌下一代 AI 数据中心。 受此进程提速影响，功率半导体及数据中心基础设施板块有望获得显著拉动。目前被视为核心受益者的供应链企业包括台达电（2308）、Vertiv（VRT）、松川精密（7788），以及施耐德电气、伊顿和西门子等。

ChainCatcher 消息，据慢雾监测，一种名为 IronWorm 的新型 Rust 供应链恶意软件活动，正通过恶意 npm 包攻击开发者环境和 Web3 生态。潜在攻击行为包括凭证窃取、钱包助记词和密码盗取、GitHub 仓库篡改、恶意包发布、CI/CD 机密外泄、基于 Tor 的命令控制以及 eBPF rootkit 隐身。安全团队应审计仓库中的回溯提交、可疑分支、意外构建钩子以及 claude、dependabot、renovate 或 github-actions 等自动化身份标识的提交。建议移除或废弃受影响包版本，发布干净版本，轮换所有泄露的密钥和 token，审查 GitHub Actions 构件，并从干净镜像重建可能受损的开发或 CI 系统。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，检测到一起活跃的 npm 供应链攻击，目标是 @redhat-cloud-services 相关软件包。目前已确认 31+ 个包受影响，周下载量约 11.6 万次，超过 300 个 GitHub 仓库中存在被盗凭证。该攻击手法与此前“Shai-Hulud”npm 攻击高度相似，包括凭证窃取、创建恶意仓库及自动化秘密外泄。目前仍有新的可疑仓库持续出现，表明攻击仍在进行中，开发者仍在被持续感染。 潜在危害包括：GitHub/npm token 被盗、AWS/GCP/Azure 云凭证泄露、SSH 密钥和 Kubernetes 秘密收集、本地环境及钱包数据外泄、恶意仓库创建及持久化操作，甚至在 token 被吊销后可能引发破坏性行为。建议立即移除或降级受影响的 @redhat-cloud-services 包版本，全面审计 CI/CD 工作流和依赖安装，轮换所有 GitHub、npm、云服务、SSH 及钱包相关密钥，保留日志，并从干净镜像重建已暴露的开发者机器或 Runner，同时保持高度警惕。

ChainCatcher 消息，据慢雾披露，安全机构 MistEye 检测到一起跨注册表供应链攻击事件，攻击者通过向 npm、PyPI 和 crates.io 发布恶意软件包，针对加密货币、DeFi、Solana、Sui/Move 及 AI 领域的开发者。该攻击活动包含 34 个以上的恶意软件包和 384 个以上相关版本。攻击者可能窃取加密货币钱包、SSH 密钥、云凭证、GitHub/AWS 令牌、浏览器数据、环境变量及开发者机密信息。部分恶意负载还试图通过 .cursorrules、CLAUDE.md、Git 钩子、shell 钩子、cron、systemd 和 SSH 实现持久化驻留。建议开发者立即移除受影响的软件包，隔离受影响系统，保留日志，轮换已暴露的凭证，从干净镜像重建 CI 运行环境和开发者机器，并审查 GitHub、云服务、SSH 及钱包活动记录。

ChainCatcher 消息，据慢雾发布的威胁情报，近期多个高频 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud “迷你沙虫”供应链攻击。npm 账号 atool 被入侵，攻击者在 22 分钟内自动发布了 637 个恶意版本，涉及 317 个包。攻击者在 35 分钟内连续上传 durabletask 1.4.1、1.4.2 和 1.4.3 版本，绕过正常发布控制并冒充微软官方发布。 GitHub token 大规模泄露事件和 Grafana Labs 遭勒索攻击很可能与此供应链攻击相关。受影响组件包括 npm 生态系统中的 AntV、Echarts-for-react 等高频组件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻击者可窃取云和本地凭证、未经授权访问内部仓库和敏感云基础设施、横向移动至开发者机器和 CI/CD 管道、销售和利用泄露的 GitHub token、实施勒索和数据泄露威胁。 慢雾建议立即轮换所有暴露的凭证，替换受影响的包，隔离可能受感染的系统，并实施严格依赖审查政策。此前消息，“迷你沙虫”蠕虫近期在开源代码库里完成大面积感染，开发者需注意排查。

ChainCatcher 消息，据财联社报道，OpenAI 针对近期发生的针对热门开源库 TanStack 的 “Mini Shai-Hulud” 供应链攻击事件发布声明表示，在监测到此次针对多款常用npm软件包的恶意攻击后，安全团队已迅速排查了内部系统，目前尚未发现任何用户数据被泄露或非法访问的证据。 OpenAI 指出，虽然其核心服务未受直接破坏，但为了确保本地环境的安全，所有使用其官方应用程序的 macOS 用户须在 2026 年 6 月 12 日前完成软件更新。

ChainCatcher 消息，据 Axios 报道，白宫正在制定指导方针，允许联邦机构绕过此前对 Anthropic 的供应链风险认定，并引入其最新模型 Mythos。有消息人士称白宫此举意在体面地将 Anthropic 请回来。本月早些时候，白宫幕僚长 Susie Wiles 与财政部长 Bessent 已与 Anthropic CEO Dario Amodei 会面。 此前五角大楼曾将 Anthropic 列为供应链风险，起因是 Anthropic 拒绝签署允许五角大楼将其模型 Claude 用于所有合法用途的协议，坚持禁止用于大规模国内监控或开发全自主武器。目前多个联邦机构争相获取 Mythos 访问权限，该模型展现出自动化网络攻击的强大能力，同时也可作为防御工具。白宫表示任何政策宣布将直接来自总统，其他均属猜测。

ChainCatcher 消息，SlowMist CISO 23pds 披露，密码管理工具 Bitwarden CLI 版本 2026.4.0 于美东时间 17:57 至 19:30 期间遭受 Checkmarx 供应链攻击，攻击者通过滥用 Bitwarden CI/CD 管道中的 GitHub Action，将恶意包短暂经由 npm 分发。官方确认 Vault 数据未泄露，生产系统未受影响，仅该时间窗口内通过 npm 安装该版本的用户受到波及。官方建议受影响用户立即卸载 2026.4.0、清理 npm 缓存、轮换 API Token 及 SSH Key 等敏感凭证、排查 GitHub 与 CI 异常活动，并升级至修复版本 2026.4.1。