文章讨论了针对crates.io的网络钓鱼攻击，提醒用户注意安全风险，并感谢了多位赞助者的支持。

crates.io 钓鱼攻击事件

2025年9月12日，Rust 的主要公共包管理平台 crates.io 遭遇了一次钓鱼攻击。攻击者通过伪造的电子邮件，试图诱骗用户点击链接并泄露他们的登录信息。

钓鱼邮件内容
邮件声称 crates.io 的基础设施遭到未经授权的访问，攻击者获取了部分用户信息。邮件建议用户通过点击链接登录内部 SSO 系统，以旋转登录信息，确保攻击者无法修改用户发布的包。然而，该链接实际上指向一个伪造的 GitHub 登录页面，旨在窃取用户的凭据。

事件进展
多个维护者收到了该钓鱼邮件，事件在 GitHub 上引发了讨论。crates.io 团队已确认此次攻击，并表示正在评估应对措施。截至2025年9月12日14:10 UTC，尚未发现任何包被篡改。

相关链接
- Rust 安全响应工作组博客
- GitHub 讨论

总结
此次钓鱼攻击提醒用户保持警惕，避免点击可疑链接，并及时更新安全措施。crates.io 团队正在积极处理此事，确保平台安全。

评论主要围绕钓鱼攻击的现状、防范措施以及相关事件展开，观点多样，既有对钓鱼攻击的担忧，也有对防范措施的讨论，同时不乏幽默调侃。

1. 钓鱼攻击的普遍性与复杂性

   • 评论3指出，钓鱼攻击似乎再次流行，攻击者可能利用了人类的轻信心理，并提到浏览器扩展注入是最难检测的钓鱼方式。
     引用：
     "Why does it seem like phishing is popular again? Maybe bad actors forgot how gullible humans were?"
     "The only phishing I can see that would be extremely hard to detect are browser extension injections."
   • 评论8描述了一种通过Paypal官方邮件进行的钓鱼攻击，攻击者利用Paypal的合法渠道插入虚假信息，极具迷惑性。
     引用：
     "What’s great about the attack is that it’s sent from paypal.com and signed by paypal."
     "Paypal shows your custom invitation message inline with their official email with no indication that it was written by someone other than paypal (wtf?)."

2. 防范措施与建议

   • 评论6强调，收到任何信息时都应先通过官方渠道验证，而不是直接相信信息内容。
     引用：
     "If you get a message (text, email or call), it’s best to not trust the contents of the message until you verify it by logging in or whatever yourself."
   • 评论7建议使用Passkey认证来防止凭证被盗，并提供了GitHub的相关链接。
     引用：
     "GitHub supports passkeys. Just a friendly reminder for everyone to update their accounts to require passkey auth to prevent credential stealing."

3. 对钓鱼事件的幽默调侃

   • 评论1和评论9提到，钓鱼页面被重定向到Rickroll或搞笑图片，展现了开发者对钓鱼攻击的轻松态度。
     引用：
     "Heh, the phishing page now redirects to a rickroll."
     "The site https://github.rustfoundation.dev now only contains a single image that is the buff doge vs cheems meme."
   • 评论10调侃了Rust开发者与NPM开发者在应对钓鱼攻击时的差异，但同时也指出Rust开发者可能也会中招。
     引用：
     "Virgin npm devs falling for phishing (sleepy doge) vs Chad Rust devs (shredded doge)."
     "As chad as Rust devs supposedly are, something tells me at least a few of them are going to fall for this attack."

总结：评论反映了钓鱼攻击的复杂性和普遍性，同时提供了防范建议，并通过幽默方式表达了对相关事件的态度。