深潮 TechFlow 消息，12 月 4 日，慢雾余弦在X上发文表示：“注意@solana/web3.js 供应链投毒，已知的 1.95.6 及 1.95.7 版本存在后门代码，会偷用户私钥。新版本已经没这个风险。已知知名钱包未发现这个风险，但真实攻击是发生的。“
余弦猜测也许是更新依赖包比较及时的第三方私钥有关工具（包括 bot）中招了，因为投毒的版本存活仅就几小时，很快就被发现并下架了。如果用户有用到这个包，需注意排查。
此前社区用户反馈，@solana/web3.js 的 1.95.6 和 1.95.7 版本已被确认存在安全漏洞，如果用户运营的服务具有地址黑名单功能，需将以下地址加入黑名单： FnvLGtucz4E1ppJHRTev6Qv4X7g8Pw6WPStHCcbAKbfx。
