供應鏈

ChainCatcher 消息，据金十報導，美光科技 (MU.O)表示，計劃投資 30 億美元，以強化美國本土半導體供應鏈。

ChainCatcher 消息，物流供應鏈 RWA 平台 CARFI 宣布，BVI 公司 Apex Logistics Technology Co., Ltd. 正式推出票據代幣化產品 CFUSD，並由 CARFI 提供發行服務。該項目部署於幣安鏈（BNB Chain）。CFUSD 底層資產包括物流應收帳款、貿易融資資產、供應鏈金融貸款、其他應收帳款及經審核的短久期固定收益類資產，擁有穩定現金流支撐。

ChainCatcher 消息，7 月 1 日，据 WEEX TradFi 資料顯示，近期美股科技板塊表現分化，資金持續關注具備實際落地預期的 Physical AI、機器人及相關供應鏈方向。其中，AMD 24H 漲約 7.7%，Symbotic（SYM）漲超 6.6%，Texas Instruments（TXN）漲約 4.4%，NVIDIA（NVDA）漲約 2.6%，Tesla（TSLA）漲約 2.1%，Analog Devices（ADI）漲約 1.4%。WEEX Labs 認為，市場資金正從單一算力敘事向具備落地預期的 Physical AI 供應鏈核心環節擴散，包括特斯拉 Optimus 產線改造、英偉達 Physical AI Day 等事件持續強化軟硬體協同預期，相關板塊關注度提升。

ChainCatcher 消息，据藍鯨科技報導，由中興通訊與字節跳動共同推進的新一代豆包 AI 手機或因備案認證流程問題，較原定預期的第二季度推遲發布。知情人士透露，該款手機需同時通過網信辦的大模型備案與工信部的入網認證，目前產品仍處於第二次申請備案狀態。若審批順利，新機最快將於今年 7 至 8 月面世。在供應鏈方面，新一代豆包手機的螢幕供應商已由深天馬更換為京東方，電池採用德賽電池及 ATL 電芯，並由福日電子旗下中諾通訊負責代工。此外報導指出，該產品主要採用大模型深度植入操作系統底層的技術路線，但在實現系統級 Agent 跨應用調用時，目前仍面臨騰訊、阿里等頭部平台尚未開放相關數據權限的生態壁壘挑戰。

ChainCatcher 消息，慢霧發文表示，140 余個 Mastra 相關 npm 軟體包遭供應鏈攻擊，受影響版本會引入惡意依賴 easy-day-js@1.11.22，並在安裝階段觸發攻擊者控制的代碼執行。

ChainCatcher 消息，白毛股神發文表示，英偉達和谷歌正推進 800V 直流（DC）電源架構的提前應用，預計相關小批量出貨將提前至 2026 年第三季度啟動。據悉，該技術將率先應用於英偉達的 Vera Rubin 平台以及谷歌下一代 AI 數據中心。受此進程提速影響，功率半導體及數據中心基礎設施板塊有望獲得顯著拉動。目前被視為核心受益者的供應鏈企業包括台達電（2308）、Vertiv（VRT）、松川精密（7788），以及施耐德電氣、伊頓和西門子等。

ChainCatcher 消息，据慢雾監測，一種名為 IronWorm 的新型 Rust 供應鏈惡意軟體活動，正透過惡意 npm 包攻擊開發者環境和 Web3 生態。潛在攻擊行為包括憑證竊取、錢包助記詞和密碼盜取、GitHub 倉庫篡改、惡意包發布、CI/CD 機密外洩、基於 Tor 的命令控制以及 eBPF rootkit 隱身。安全團隊應審計倉庫中的回溯提交、可疑分支、意外構建鉤子以及 claude、dependabot、renovate 或 github-actions 等自動化身份標識的提交。建議移除或廢棄受影響包版本，發布乾淨版本，輪換所有洩露的密鑰和 token，審查 GitHub Actions 構件，並從乾淨鏡像重建可能受損的開發或 CI 系統。

ChainCatcher 消息，慢霧 SlowMist 發布安全警報，檢測到一起活躍的 npm 供應鏈攻擊，目標是 @redhat-cloud-services 相關軟體包。目前已確認 31+ 個包受影響，週下載量約 11.6 萬次，超過 300 個 GitHub 倉庫中存在被盜憑證。該攻擊手法與此前 "Shai-Hulud" npm 攻擊高度相似，包括憑證竊取、創建惡意倉庫及自動化秘密外洩。目前仍有新的可疑倉庫持續出現，表明攻擊仍在進行中，開發者仍在被持續感染。潛在危害包括：GitHub/npm token 被盜、AWS/GCP/Azure 雲憑證洩露、SSH 密鑰和 Kubernetes 秘密收集、本地環境及錢包數據外洩、惡意倉庫創建及持久化操作，甚至在 token 被吊銷後可能引發破壞性行為。建議立即移除或降級受影響的 @redhat-cloud-services 包版本，全面審計 CI/CD 工作流和依賴安裝，輪換所有 GitHub、npm、雲服務、SSH 及錢包相關密鑰，保留日誌，並從乾淨鏡像重建已暴露的開發者機器或 Runner，同時保持高度警惕。

ChainCatcher 消息，据慢霧披露，安全機構 MistEye 檢測到一起跨註冊表供應鏈攻擊事件，攻擊者通過向 npm、PyPI 和 crates.io 發佈惡意軟體包，針對加密貨幣、DeFi、Solana、Sui/Move 及 AI 領域的開發者。該攻擊活動包含 34 個以上的惡意軟體包和 384 個以上相關版本。攻擊者可能竊取加密貨幣錢包、SSH 密鑰、雲憑證、GitHub/AWS 令牌、瀏覽器數據、環境變數及開發者機密信息。部分惡意負載還試圖通過 .cursorrules、CLAUDE.md、Git 鉤子、shell 鉤子、cron、systemd 和 SSH 實現持久化駐留。建議開發者立即移除受影響的軟體包，隔離受影響系統，保留日誌，輪換已暴露的憑證，從乾淨鏡像重建 CI 運行環境和開發者機器，並審查 GitHub、雲服務、SSH 及錢包活動記錄。

ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。

ChainCatcher 消息，据財聯社報導，OpenAI 針對近期發生的針對熱門開源庫 TanStack 的 "Mini Shai-Hulud" 供應鏈攻擊事件發布聲明表示，在監測到此次針對多款常用npm軟體包的惡意攻擊後，安全團隊已迅速排查了內部系統，目前尚未發現任何用戶數據被洩露或非法訪問的證據。OpenAI 指出，雖然其核心服務未受直接破壞，但為了確保本地環境的安全，所有使用其官方應用程序的 macOS 用戶須在 2026 年 6 月 12 日前完成軟體更新。

ChainCatcher 消息，据 Axios 報導，白宮正在制定指導方針，允許聯邦機構繞過此前對 Anthropic 的供應鏈風險認定，並引入其最新模型 Mythos。有消息人士稱白宮此舉意在體面地將 Anthropic 請回來。本月早些時候，白宮幕僚長 Susie Wiles 與財政部長 Bessent 已與 Anthropic CEO Dario Amodei 會面。此前五角大樓曾將 Anthropic 列為供應鏈風險，起因是 Anthropic 拒絕簽署允許五角大樓將其模型 Claude 用於所有合法用途的協議，堅持禁止用於大規模國內監控或開發全自主武器。目前多個聯邦機構爭相獲取 Mythos 存取權限，該模型展現出自動化網絡攻擊的強大能力，同時也可作為防禦工具。白宮表示任何政策宣布將直接來自總統，其他均屬猜測。

ChainCatcher 消息，SlowMist CISO 23pds 披露，密碼管理工具 Bitwarden CLI 版本 2026.4.0 於美東時間 17:57 至 19:30 期間遭受 Checkmarx 供應鏈攻擊，攻擊者透過濫用 Bitwarden CI/CD 管道中的 GitHub Action，將惡意包短暫經由 npm 發佈。官方確認 Vault 資料未洩露，生產系統未受影響，僅該時間窗口內透過 npm 安裝該版本的用戶受到波及。官方建議受影響用戶立即卸載 2026.4.0、清理 npm 快取、輪換 API Token 及 SSH Key 等敏感憑證、排查 GitHub 與 CI 異常活動，並升級至修復版本 2026.4.1。