공급망

금십 보도에 따르면, 마이크론 테크놀로지 (MU.O)는 미국 내 반도체 공급망을 강화하기 위해 30억 달러를 투자할 계획이라고 밝혔다.

물류 공급망 RWA 플랫폼 CARFI가 BVI 회사 Apex Logistics Technology Co., Ltd.가 공식적으로 청구서 토큰화 제품 CFUSD를 출시했으며, CARFI가 발행 서비스를 제공한다고 발표했습니다. 이 프로젝트는 바이낸스 체인(BNB Chain)에 배포되었습니다.CFUSD의 기초 자산에는 물류 매출채권, 무역 금융 자산, 공급망 금융 대출, 기타 매출채권 및 검토된 단기 고정 수익 자산이 포함되어 있으며, 안정적인 현금 흐름을 지원합니다.

7월 1일, WEEX TradFi 데이터에 따르면, 최근 미국 주식 시장의 기술 섹터는 성과가 엇갈리고 있으며, 자금은 실제 실행 가능성이 있는 Physical AI, 로봇 및 관련 공급망 방향에 지속적으로 주목하고 있습니다. 그 중, AMD는 24시간 동안 약 7.7% 상승했으며, Symbotic(SYM)은 6.6% 이상 상승, Texas Instruments(TXN)은 약 4.4% 상승, NVIDIA(NVDA)는 약 2.6% 상승, Tesla(TSLA)는 약 2.1% 상승, Analog Devices(ADI)는 약 1.4% 상승했습니다.WEEX Labs는 시장 자금이 단일 계산력 서사에서 실제 실행 가능성이 있는 Physical AI 공급망 핵심 요소로 확산되고 있다고 보고하며, 이는 테슬라 Optimus 생산 라인 개조, 엔비디아 Physical AI Day와 같은 사건들이 소프트웨어와 하드웨어의 협동 기대를 지속적으로 강화하고 있으며, 관련 섹터에 대한 관심이 높아지고 있음을 나타냅니다.

블루웨일 테크에 따르면, 중흥통신과 바이트댄스가 공동으로 추진하는 차세대 두부 AI 휴대폰은 등록 인증 프로세스 문제로 인해 원래 예상했던 2분기 출시가 지연될 수 있다고 합니다. 내부 소식통에 따르면, 이 휴대폰은 사이버 정보 사무소의 대모델 등록과 공업 정보부의 네트워크 인증을 동시에 통과해야 하며, 현재 제품은 두 번째 등록 신청 상태에 있습니다. 승인이 순조롭게 진행된다면, 새로운 기기는 올해 7월에서 8월 사이에 출시될 예정입니다.공급망 측면에서, 차세대 두부 휴대폰의 화면 공급업체는 심천 타마에서 BOE로 변경되었으며, 배터리는 데사이 배터리와 ATL 전지를 사용하고, 복일 전자 산하의 중노 통신이 위탁 생산을 담당합니다. 또한 보도에 따르면, 이 제품은 주로 대모델을 깊이 삽입한 운영 체제의 기술 경로를 채택하고 있지만, 시스템 수준의 에이전트가 애플리케이션 간 호출을 구현할 때, 현재 텐센트, 알리바바 등 주요 플랫폼이 관련 데이터 권한을 개방하지 않아 생태적 장벽 도전에 직면해 있습니다.

느린 안개에서 발표한 바에 따르면, 140개 이상의 Mastra 관련 npm 소프트웨어 패키지가 공급망 공격을 받았으며, 영향을 받은 버전은 악성 의존성 easy-day-js@1.11.22를 도입하고 설치 단계에서 공격자가 제어하는 코드 실행을 유발합니다.

백모 주신이 발표한 바에 따르면, 엔비디아와 구글이 800V 직류(DC) 전원 아키텍처의 조기 적용을 추진하고 있으며, 관련 소량 출하가 2026년 3분기로 앞당겨질 것으로 예상된다. 이 기술은 엔비디아의 베라 루빈 플랫폼과 구글의 차세대 AI 데이터 센터에 먼저 적용될 예정이다.이러한 진행 속도 증가의 영향을 받아, 전력 반도체 및 데이터 센터 인프라 부문이 상당한 성장을 이룰 것으로 기대된다. 현재 핵심 수혜자로 여겨지는 공급망 기업으로는 델타 전기(2308), 버티브(VRT), 송천 정밀(7788), 그리고 슈나이더 일렉트릭, 이튼, 지멘스 등이 있다.

슬로우 후드 모니터링에 따르면, IronWorm이라는 이름의 새로운 Rust 공급망 악성 소프트웨어 활동이 악성 npm 패키지를 통해 개발자 환경과 Web3 생태계를 공격하고 있습니다. 잠재적인 공격 행동에는 자격 증명 도용, 지갑 니모닉 및 비밀번호 도용, GitHub 저장소 변조, 악성 패키지 배포, CI/CD 비밀 유출, Tor 기반 명령 제어 및 eBPF 루트킷 은폐가 포함됩니다.보안 팀은 저장소의 회귀 커밋, 의심스러운 브랜치, 예기치 않은 빌드 훅 및 claude, dependabot, renovate 또는 github-actions와 같은 자동화된 신원 확인의 커밋을 감사해야 합니다. 영향을 받은 패키지 버전을 제거하거나 폐기하고, 깨끗한 버전을 게시하며, 모든 유출된 키와 토큰을 교체하고, GitHub Actions 구성 요소를 검토하고, 깨끗한 이미지에서 손상된 개발 또는 CI 시스템을 재구성할 것을 권장합니다.

슬로우미스트(SlowMist)가 보안 경고를 발표했습니다. @redhat-cloud-services와 관련된 소프트웨어 패키지를 목표로 하는 활성 npm 공급망 공격이 감지되었습니다. 현재 31개 이상의 패키지가 영향을 받는 것으로 확인되었으며, 주간 다운로드 수는 약 116,000회에 달하고, 300개 이상의 GitHub 저장소에서 도난당한 자격 증명이 존재합니다. 이 공격 기법은 이전의 "Shai-Hulud" npm 공격과 매우 유사하며, 자격 증명 탈취, 악성 저장소 생성 및 자동화된 비밀 유출을 포함합니다. 현재도 새로운 의심스러운 저장소가 지속적으로 나타나고 있어 공격이 계속 진행 중임을 나타내며, 개발자들이 지속적으로 감염되고 있습니다.잠재적 위험에는 GitHub/npm 토큰 도난, AWS/GCP/Azure 클라우드 자격 증명 유출, SSH 키 및 Kubernetes 비밀 수집, 로컬 환경 및 지갑 데이터 유출, 악성 저장소 생성 및 지속적인 작업, 심지어 토큰이 해지된 후 파괴적인 행동을 유발할 수 있는 가능성이 포함됩니다. 영향을 받는 @redhat-cloud-services 패키지 버전을 즉시 제거하거나 다운그레이드하고, CI/CD 워크플로우 및 의존성 설치를 전면 감사하며, 모든 GitHub, npm, 클라우드 서비스, SSH 및 지갑 관련 키를 교체하고, 로그를 보관하며, 깨끗한 이미지에서 노출된 개발자 머신이나 러너를 재구성하고, 높은 경계를 유지할 것을 권장합니다.

느린 안개에 따르면, 보안 기관 MistEye가 하나의 교차 등록 공급망 공격 사건을 감지했습니다. 공격자는 npm, PyPI 및 crates.io에 악성 소프트웨어 패키지를 게시하여 암호화폐, DeFi, Solana, Sui/Move 및 AI 분야의 개발자를 겨냥했습니다. 이 공격 활동에는 34개 이상의 악성 소프트웨어 패키지와 384개 이상의 관련 버전이 포함되어 있습니다. 공격자는 암호화폐 지갑, SSH 키, 클라우드 자격 증명, GitHub/AWS 토큰, 브라우저 데이터, 환경 변수 및 개발자의 기밀 정보를 도용할 수 있습니다.일부 악성 페이로드는 .cursorrules, CLAUDE.md, Git 훅, 셸 훅, cron, systemd 및 SSH를 통해 지속적인 거주를 시도했습니다. 개발자에게는 즉시 영향을 받는 소프트웨어 패키지를 제거하고, 영향을 받는 시스템을 격리하며, 로그를 보존하고, 노출된 자격 증명을 교체하고, 깨끗한 이미지로 CI 실행 환경과 개발자 머신을 재구성하며, GitHub, 클라우드 서비스, SSH 및 지갑 활동 기록을 검토할 것을 권장합니다.

최근 여러 고빈도 npm 패키지, AntV 및 Echarts-for-react와 Python SDK durabletask가 Mini Shai-Hulud "미니 샤이 훌루드" 공급망 공격을 받았다는 위협 정보가 느린 안개에 의해 발표되었습니다. npm 계정 atool이 해킹당했으며, 공격자는 22분 만에 637개의 악성 버전을 자동으로 게시하였고, 이는 317개의 패키지와 관련이 있습니다. 공격자는 35분 내에 durabletask 1.4.1, 1.4.2 및 1.4.3 버전을 연속으로 업로드하여 정상적인 게시 제어를 우회하고 마이크로소프트 공식 게시물로 가장했습니다.GitHub 토큰 대규모 유출 사건과 Grafana Labs의 랜섬웨어 공격은 이 공급망 공격과 관련이 있을 가능성이 높습니다. 영향을 받은 구성 요소에는 npm 생태계의 AntV, Echarts-for-react와 같은 고빈도 구성 요소 및 Python 패키지 durabletask 1.4.1, 1.4.2 및 1.4.3이 포함됩니다. 공격자는 클라우드 및 로컬 자격 증명을 탈취하고, 내부 저장소 및 민감한 클라우드 인프라에 무단으로 접근하며, 개발자 머신 및 CI/CD 파이프라인으로 수평 이동하고, 유출된 GitHub 토큰을 판매 및 활용하며, 랜섬 및 데이터 유출 위협을 실행할 수 있습니다.느린 안개는 모든 노출된 자격 증명을 즉시 교체하고, 영향을 받은 패키지를 교체하며, 감염될 가능성이 있는 시스템을 격리하고, 엄격한 의존성 검토 정책을 시행할 것을 권장합니다. 이전 소식에 따르면, "미니 샤이 훌루드" 웜이 최근 오픈 소스 코드 저장소에서 대규모 감염을 완료했으며, 개발자는 점검에 주의해야 합니다.

재무연구소 보도에 따르면, OpenAI는 최근 발생한 인기 오픈 소스 라이브러리 TanStack에 대한 "Mini Shai-Hulud" 공급망 공격 사건에 대해 성명을 발표했습니다. 여러 가지 일반적인 npm 소프트웨어 패키지를 겨냥한 악의적인 공격이 감지된 후, 보안 팀은 내부 시스템을 신속하게 점검했으며, 현재까지 사용자 데이터가 유출되거나 불법 접근된 증거는 발견되지 않았습니다.OpenAI는 핵심 서비스가 직접적인 피해를 입지 않았지만, 로컬 환경의 안전을 보장하기 위해 공식 애플리케이션을 사용하는 모든 macOS 사용자는 2026년 6월 12일 이전에 소프트웨어 업데이트를 완료해야 한다고 강조했습니다.

Axios에 따르면, 백악관은 연방 기관이 Anthropic에 대한 공급망 위험 평가를 우회하고 최신 모델 Mythos를 도입할 수 있도록 지침을 마련하고 있다. 소식통에 따르면 백악관의 이 조치는 Anthropic을 체면을 세워 다시 초대하기 위한 의도이다. 이달 초, 백악관 비서실장 Susie Wiles와 재무장관 Bessent는 Anthropic CEO Dario Amodei와 만났다.이전에 펜타곤은 Anthropic을 공급망 위험으로 분류했으며, 이는 Anthropic이 펜타곤이 모델 Claude를 모든 합법적 용도로 사용할 수 있도록 허용하는 계약에 서명하는 것을 거부하고, 대규모 국내 감시 또는 완전 자율 무기 개발에 사용되는 것을 금지하겠다고 고수했기 때문이다. 현재 여러 연방 기관이 Mythos 접근 권한을 얻기 위해 경쟁하고 있으며, 이 모델은 자동화된 사이버 공격의 강력한 능력을 보여주고 동시에 방어 도구로도 사용될 수 있다. 백악관은 모든 정책 발표는 대통령으로부터 직접 이루어질 것이라고 밝혔으며, 그 외의 사항은 추측에 불과하다고 전했다.

SlowMist CISO 23pds 발표에 따르면, 비밀번호 관리 도구 Bitwarden CLI 버전 2026.4.0이 미국 동부 시간 17:57부터 19:30 사이에 Checkmarx 공급망 공격을 받았으며, 공격자는 Bitwarden CI/CD 파이프라인의 GitHub Action을 악용하여 악성 패키지를 일시적으로 npm을 통해 배포했습니다.공식적으로 Vault 데이터는 유출되지 않았으며, 생산 시스템은 영향을 받지 않았고, 해당 시간 창 내에 npm을 통해 해당 버전을 설치한 사용자만 영향을 받았습니다. 공식에서는 영향을 받은 사용자에게 즉시 2026.4.0을 제거하고, npm 캐시를 정리하며, API Token 및 SSH Key와 같은 민감한 자격 증명을 교체하고, GitHub 및 CI의 비정상 활동을 점검하며, 수정된 버전인 2026.4.1로 업그레이드할 것을 권장합니다.

금십 보도에 따르면, 화타이 증권 연구 보고서는 현재 중동 갈등의 지속 시간과 글로벌 공급 수요에 대한 영향이 "일시적" 충격을 초과하여 자금과 공급망에 실질적인 단절이 발생했다고 지적했습니다. 올해 안에 달러와 유가가 예상보다 강할 것으로 보이며, 글로벌 유동성 완화 정도는 예상보다 낮고, 가치 평가 상승 여지도 예상보다 낮을 것입니다. 시장은 뉴스 추적에서 기본으로 돌아가는 심리적 과정을 겪을 수 있으며, 자원 부족, 공급망 및 현금 흐름 위험에 더욱 주목할 것입니다. 화타이 증권은 변동성에 대해 일정한 경외감을 유지할 것을 권장합니다.