🇰🇷 한글 설명
2025년 9월 8일 DuckDB의 Node.js npm 패키지가 악성코드로 감염되어 배포됨. 암호화폐 거래를 방해하는 코드가 포함되었으며, 1.3.3, 1.29.2 등의 버전이 영향을 받음. 1.3.4/1.30.0 이상으로 업그레이드하거나 1.3.2/1.29.1로 다운그레이드하여 해결.
💡 쉬운 설명
DuckDB 데이터베이스 프로그램이 npm에서 다운로드할 때 악의적인 코드가 섞여 있었습니다. 이 코드는 암호화폐 거래를 방해하므로 즉시 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
DuckDB is an analytical in-process SQL database management system. On 08 September 2025, the DuckDB distribution for Node.js on npm was compromised with malware (along with several other packages). An attacker published new versions of four of DuckDB's packages that included malicious code to interfere with cryptocoin transactions* According to the npm statistics, nobody has downloaded these packages before they were deprecated. The packages and versions `@duckdb/
[email protected]`, `@duckdb/
[email protected]`, `
[email protected]`, and `@duckdb/
[email protected]` were affected. DuckDB immediately deprecated the specific versions, engaged npm support to delete the affected verions, and re-released the node packages with higher version numbers (1.3.4/1.30.0). Users may upgrade to versions 1.3.4, 1.30.0, or a higher version to protect themselves. As a workaround, they may also downgrade to 1.3.2 or 1.29.1.
⚔️ 공격 벡터
공격자가 npm 리포지토리에 악성코드가 포함된 패키지 버전을 업로드하여 설치 시 자동 실행되도록 함
🛡️ 대응 방법
npm update를 통해 duckdb를 1.3.4 이상(또는 1.30.0 이상) 버전으로 업그레이드하거나 1.3.2/1.29.1 이하로 다운그레이드
🔧 검증 코드
명령어에서 결과가 나오면 감염된 버전이 설치되어 있으므로 즉시 업그레이드/다운그레이드 필요. 결과가 없으면 안전한 버전 설치됨.
npm list duckdb 2>/dev/null | grep -E 'duckdb@(1\.3\.[3-9]|1\.29\.[2-9]|1\.30\.[0-1])'