《胜利女神，妮姬》PC客户端遭供应链投毒，窃取密码、SSH密钥与加密货币钱包

《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服PC客户端近期曝出严重安全事件：其启动器在分发过程中遭遇供应链投毒攻击。攻击者通过篡改游戏从官方CDN加载的JavaScript文件，使玩家在正常启动游戏时，无意中执行恶意代码，进而部署远程控制木马（RAT）。该事件不仅威胁游戏账号安全，更波及用户日常数字资产——包括浏览器保存的密码、SSH私钥、API密钥，乃至加密货币钱包数据。

浏览器数据窃取：支持Chrome、Edge、Firefox等主流浏览器，可提取保存的密码、Cookie及登录会话；
开发者凭证劫持：目标包括SSH私钥、GitHub/GitLab Token、AWS、OpenAI、Anthropic等云服务与AI平台的认证凭据；
加密货币钱包渗透：读取本地钱包文件、扩展数据，甚至扫描可能包含私钥的敏感路径；
系统级远程控制：支持文件读取、屏幕截图、执行任意系统命令及启动程序；
持久化驻留机制：通过向Chrome用户目录（%LOCALAPPDATA%\Google\Chrome\User Data\PlatformExperienceHelper\）植入名为platform_experience_helper.dll的恶意DLL，实现游戏退出后仍长期潜伏。

值得注意的是，该恶意程序预设了约1790条敏感文件路径规则，其中明确包含Claude Code、Cursor、Gemini CLI等AI开发工具相关配置与缓存目录，反映出攻击者对开发者群体的高度针对性。

用户可通过自查初步判断是否中招：进入NIKKE安装目录下的Launcher\intl_service\debug.log文件，搜索关键词“k2f_chan”。若出现“k2f_chan registered”或“adopted uuid”字样，则高度提示恶意代码已运行。此外，检查上述Chrome目录下是否存在以64位十六进制字符串命名的子目录及其内的platform_experience_helper.dll文件，也是关键排查点。

需要强调的是，“查到k2f_chan”不等于所有数据已被窃取，而“未查到”也不能完全排除感染可能——因攻击手法具备动态加载与混淆特性。一旦确认感染，建议立即断网，并在另一台可信设备上完成以下操作：重置重要账户密码、注销各平台登录会话、轮换SSH密钥与API Token；若涉及加密货币钱包，应考虑迁移资产至新钱包。鉴于该木马具备远程执行能力，最稳妥方案仍是重装操作系统。

截至2026年11月4日，NIKKE运营方已公开承认PC启动器脚本存在“疑似第三方篡改的异常”，并完成紧急修正。经安全团队复核，四个已知被污染的官方JS文件均已恢复原始版本。然而，修复仅作用于后续启动流程，无法自动清除已落地至用户本地的恶意DLL与持久化组件。

事件还衍生出一段离奇插曲：据ngabbs社区披露，攻击者最初控制的C2服务器疑似已关闭，部分玩家启动器随后回退加载来自insightjs[.]org的脚本。该域名现由一名第三方注册，并被用于向玩家展示安全警告页面——这意味着，部分玩家看到的“官方安全提示”，实为非官方行为。这一细节凸显了供应链攻击中信任链断裂的复杂性：攻击者不仅能篡改代码，还能接管部分通信渠道，进一步混淆视听。

此次事件并非孤立案例。就在同一时间段，币安披露了一起规模更大的安全事件：攻击者通过虚假招聘、篡改Homebrew安装包及滥用内部AI工具，入侵多名员工终端，最终获取热钱包签名权限，导致约63.4亿美元加密资产被盗，创下行业纪录。两起事件共享相似模式：均利用开发者常用工具链（Homebrew、启动器JS）、结合社会工程学诱导下载、再通过内部AI工具横向移动扩大影响。这表明，当前高级持续性威胁（APT）正将“供应链+AI辅助”作为标准攻击范式。

从防御角度看，传统端点防护已难以应对此类“合法工具+零日载荷”的组合拳。攻击者刻意避开传统杀软特征库，选择在用户主动执行可信流程（如启动游戏、安装开发工具）时注入恶意逻辑，极大提升了隐蔽性。安全专家指出，企业级防护亟需转向“行为基线建模”与“最小权限原则”：例如限制非必要脚本执行、对CDN资源实施完整性校验（如Subresource Integrity, SRI）、对开发者环境实施独立沙箱隔离。

对普通玩家而言，此次事件敲响警钟：即使是知名厂商的官方客户端，也可能在分发环节被劫持。定期核查启动日志、警惕异常进程、避免在游戏/娱乐设备上存储高价值凭证，已成为数字时代的基本生存技能。

目前，NIKKE运营方尚未公布具体受影响用户数量，也未说明攻击者如何获得CDN修改权限。随着调查深入，更多细节或将浮出水面。但可以确定的是，当游戏客户端成为攻击跳板，安全边界早已超越单一应用范畴，延伸至整个数字身份生态。