供应链

ChainCatcher 消息，据 Cryptopolitan 报道，攻击者通过供应链攻击发布了三个广泛使用的 Rust 代码包恶意版本，其中名为 arrayref 的库被约四分之三的 Rust 开发环境使用。恶意更新隐藏了一个后门，可在用户编译项目时自动窃取登录信息，编译过受影响版本的用户可能已暴露电脑和密钥。Wiz 研究人员指出，arrayref 攻击的命令与控制路径与朝鲜黑客组织 Sapphire Sleet 和 UNC1069 使用的 Mastra 行动重叠，IP 地址共享同一安全证书且使用同一托管商 Hostwinds。攻击者仅新增了拼写错误的 proc-macro1 依赖，模仿流行的 proc-macro2，未修改原有代码，使其通过测试和构建。攻击在发布 86 分钟后被删除，但已被大量下载。受影响包在 Solana 和 Ethereum 工具中广泛使用。Rust 团队认为维护者非恶意行为，其设备或凭证可能遭入侵。

ChainCatcher 消息，据《华尔街日报》报道，苹果正在测试中国DRAM厂商长鑫存储（CXMT） 的内存芯片，计划应用于iPhone和MacBook等产品线。此举背景是AI需求推高全球内存价格，苹果曾向美方游说称当前来自韩系及美系供应商的定价“不可持续”。报道称，苹果正寻求白宫批准与中国芯片供应商开展业务，目前美国允许采购商用现货芯片但限制定制化产品。 长鑫存储近期市场份额快速扩大，第二季度营收同比增长超8倍，全球DRAM市占率升至7%，并于上月完成科创板IPO。与此同时，惠普、宏碁等PC厂商已开始在非美国市场销售的部分设备中使用长鑫存储内存芯片，以缓解供应压力。苹果若最终达成采购协议，可能面临华盛顿方面的政治阻力。

ChainCatcher 消息，美国总统特朗普将于当地时间 8 月 7 日在美国国务院召集全球部分大型矿业公司高管开会，以期采取行动保障美国及盟友的关键矿产供应。 预计出席的业界巨头包括力拓集团、必和必拓公司、自由港-麦克莫兰铜金公司等。特朗普政府计划宣布多项交易与谅解备忘录。

ChainCatcher 消息，据Counterpoint Research分析，美国联邦通信委员会（FCC）拟议中的中国产光模块进口禁令若落地，将主要冲击美国云厂商而非中国供应商。中际旭创以约 27% 份额领跑全球数据中心光模块收入，Coherent 以约 17% 位居第二，中国制造商合计占据全球约 三分之二 的单位供应量及约 60% 的光通信模块收入。 分析指出，Coherent 和 Lumentum 等西方供应商短期内缺乏足够的洁净室产能、自动化封装基础设施及良率规模，无法在 12-24个月内填补中国厂商的产能缺口，可能导致AI集群部署延迟数个季度，并推高云厂商物料成本。同时，中国模块厂商对北美超大规模客户的高端 800G/1.6T 模块收入依赖度超 90%，但已通过在泰国设厂实现部分产能外移。 Counterpoint强调，光模块供应链是一个高度相互依存的系统，中国厂商大量采购Broadcom、Marvell 的DSP芯片以及 Lumentum、Coherent、三菱电机的激光器和光芯片，强行切割将扰乱整个生态系统。

ChainCatcher 消息，据慢雾监测，MistEye 检测到一次大规模 npm 供应链攻击，影响 Keyv/Cacheable 生态系统。攻击者发布了超过 2,000 个恶意包版本，包括 keyv@6.0。Keyv 是广泛使用的键值存储抽象库，支持 Redis、SQLite、PostgreSQL、MongoDB 等后端，每周下载量约 1.27 亿次，导致明显的下游供应链暴露。攻击手法与此前 Shai-Hulud npm 蠕虫活动高度相似，指向高度自动化和可扩展的供应链攻击。潜在攻击行为包括凭据窃取、环境变量泄露、CI/CD 密钥泄露、远程载荷投递及通过被入侵的开发环境横向传播。安全团队应立即识别并移除受影响包版本，升级至已验证的安全版本，审查依赖锁文件和构建日志，监控可疑外连，轮换泄露凭据，并在确认受影响后重建环境。

ChainCatcher 消息，AI 供应链管理初创公司 Freehand 宣布完成 7,500 万美元融资，由 Battery Ventures 和 NewRoad Capital Partners 共同领投，Nexus Venture Partners 及前美国商务部长 Penny Pritzker 旗下基金 PSP Growth 参投。Freehand 的 AI 代理可自主完成合同解读、供应商费率谈判、超额账单识别、付款处理及 ERP 系统对账等工作，客户已涵盖 Meta、联合利华、强生、辉瑞、Dunkin' 及 Cardinal Health 等头部企业。

ChainCatcher 消息，据金十报道，美光科技 (MU.O)表示，计划投资 30 亿美元，以强化美国本土半导体供应链。

ChainCatcher 消息，物流供应链 RWA 平台 CARFI 宣布，BVI 公司 Apex Logistics Technology Co., Ltd. 正式推出票据代币化产品 CFUSD，并由 CARFI 提供发行服务。该项目部署于币安链（BNB Chain）。 CFUSD 底层资产包括物流应收账款、贸易融资资产、供应链金融贷款、其他应收账款及经审核的短久期固定收益类资产，拥有稳定现金流支撑。

ChainCatcher 消息，7 月 1 日，据 WEEX TradFi 数据显示，近期美股科技板块表现分化，资金持续关注具备实际落地预期的 Physical AI、机器人及相关供应链方向。其中，AMD 24H 涨约 7.7%，Symbotic（SYM）涨超 6.6%，Texas Instruments（TXN）涨约 4.4%，NVIDIA（NVDA）涨约 2.6%，Tesla（TSLA）涨约 2.1%，Analog Devices（ADI）涨约 1.4%。 WEEX Labs 认为，市场资金正从单一算力叙事向具备落地预期的 Physical AI 供应链核心环节扩散，包括特斯拉 Optimus 产线改造、英伟达 Physical AI Day 等事件持续强化软硬件协同预期，相关板块关注度提升。

ChainCatcher 消息，据蓝鲸科技报道，由中兴通讯与字节跳动共同推进的新一代豆包 AI 手机或因备案认证流程问题，较原定预期的二季度推迟发布。知情人士透露，该款手机需同时通过网信办的大模型备案与工信部的入网认证，目前产品仍处于第二次申请备案状态。若审批顺利，新机最快将于今年 7 至 8 月面世。 在供应链方面，新一代豆包手机的屏幕供应商已由深天马更换为京东方，电池采用德赛电池及 ATL 电芯，并由福日电子旗下中诺通讯负责代工。此外报道指出，该产品主要采用大模型深度植入操作系统底层的技术路线，但在实现系统级 Agent 跨应用调用时，目前仍面临腾讯、阿里等头部平台尚未开放相关数据权限的生态壁垒挑战。

ChainCatcher 消息，慢雾发文表示，140 余个 Mastra 相关 npm 软件包遭供应链攻击，受影响版本会引入恶意依赖 easy-day-js@1.11.22，并在安装阶段触发攻击者控制的代码执行。

ChainCatcher 消息，白毛股神发文表示，英伟达和谷歌正推进 800V 直流（DC）电源架构的提前应用，预计相关小批量出货将提前至 2026 年第三季度启动。据悉，该技术将率先应用于英伟达的 Vera Rubin 平台以及谷歌下一代 AI 数据中心。 受此进程提速影响，功率半导体及数据中心基础设施板块有望获得显著拉动。目前被视为核心受益者的供应链企业包括台达电（2308）、Vertiv（VRT）、松川精密（7788），以及施耐德电气、伊顿和西门子等。

ChainCatcher 消息，据慢雾监测，一种名为 IronWorm 的新型 Rust 供应链恶意软件活动，正通过恶意 npm 包攻击开发者环境和 Web3 生态。潜在攻击行为包括凭证窃取、钱包助记词和密码盗取、GitHub 仓库篡改、恶意包发布、CI/CD 机密外泄、基于 Tor 的命令控制以及 eBPF rootkit 隐身。安全团队应审计仓库中的回溯提交、可疑分支、意外构建钩子以及 claude、dependabot、renovate 或 github-actions 等自动化身份标识的提交。建议移除或废弃受影响包版本，发布干净版本，轮换所有泄露的密钥和 token，审查 GitHub Actions 构件，并从干净镜像重建可能受损的开发或 CI 系统。

ChainCatcher 消息，慢雾 SlowMist 发布安全警报，检测到一起活跃的 npm 供应链攻击，目标是 @redhat-cloud-services 相关软件包。目前已确认 31+ 个包受影响，周下载量约 11.6 万次，超过 300 个 GitHub 仓库中存在被盗凭证。该攻击手法与此前“Shai-Hulud”npm 攻击高度相似，包括凭证窃取、创建恶意仓库及自动化秘密外泄。目前仍有新的可疑仓库持续出现，表明攻击仍在进行中，开发者仍在被持续感染。 潜在危害包括：GitHub/npm token 被盗、AWS/GCP/Azure 云凭证泄露、SSH 密钥和 Kubernetes 秘密收集、本地环境及钱包数据外泄、恶意仓库创建及持久化操作，甚至在 token 被吊销后可能引发破坏性行为。建议立即移除或降级受影响的 @redhat-cloud-services 包版本，全面审计 CI/CD 工作流和依赖安装，轮换所有 GitHub、npm、云服务、SSH 及钱包相关密钥，保留日志，并从干净镜像重建已暴露的开发者机器或 Runner，同时保持高度警惕。