玩家與獨立研究人員發現，《勝利女神：妮姬》PC 啟動器載入的官方 CDN 檔案遭人動了手腳。一份 11 月 3 日公開在 GitHub 上的分析報告指出，植入的載入程式會下載並執行遠端控制木馬，受影響的主機應視為完全失陷。
截至 InvenGlobal 發稿，開發商 SHIFT UP 與發行商 Level Infinite 都沒有公開回應。以下的時間點全部來自外部分析，沒有官方公告可供對照。
時間線與兩處對不上的地方
InvenGlobal 整理的時間線如下：9 月 27 日，攻擊者的程式碼進入 CDN 上三個官方 JavaScript 檔案，啟動器開啟時會載入它們；10 月 28 日，第三個檔案在來源端被清理；最晚從 11 月 1 日起，開啟啟動器可能下載並執行遠端控制程式，但並非每次都會觸發；11 月 3 日 17:04 與 17:21（格林威治標準時間）有兩個檔案被替換，18:31 攻擊者伺服器停止回應，18:59 仍有兩個 CDN 節點在提供遭竄改的副本。
GitHub 報告的說法略有出入。它提到的官方資產有四個，確認的是 FeedList 與 vue-bucket 兩個，並稱 11 月 4 日複查時四個都已恢復為乾淨版本。報告所說的 9 月 27 日，是控制網域 insightjs.com 沉寂約五年後被重新註冊的日子。報告還提到，載入程式就位約 37 天後才執行惡意載荷，這段期間玩家開啟啟動器未必看得到異狀。
為什麼遊戲木馬要偷 Claude Code 設定
報告稱，這支木馬有 19 條指令，涵蓋任意指令執行、互動式 shell、檔案傳輸、螢幕截圖與憑證蒐集。它的蒐集路徑約有 1,790 條，點名的 AI 與開發工具包括 Claude Code、Gemini CLI、Cursor、Windsurf 與 MCP 設定，目標還有 AI 服務商的 API 金鑰與 OAuth 權杖、雲端服務金鑰、套件庫權杖、CI 與 Kubernetes 憑證、SSH 與 GPG 金鑰、瀏覽器工作階段，以及 28 個加密貨幣錢包擴充功能的資料。
這份清單和上個月的 LiteLLM 下毒事件很像。10 月 21 日，LiteLLM 1.107.0 遭竄改後上架 PyPI，竊密程式同樣衝著瀏覽器憑證與雲端金鑰而來，Wiz 揭露攻擊者數小時後就開始驗證偷來的 AWS 憑證。兩起事件的入口差異很大，一個在開發者的相依套件裡，一個在玩家的遊戲啟動器裡，想拿的東西卻高度重疊。開發者的本機設定檔裡常放著明文金鑰，這些金鑰可以直接換成算力額度與雲端資源；LiteLLM 案裡，攻擊者驗證憑證後就去列出 Bedrock 上的模型。
報告明確寫出幾件尚未確認的事：攻擊者如何取得 CDN 的寫入權限、實際感染規模、同一時期是否還有其他受污染的資產。作者也說明，沒有獨立還原出惡意的第二階段腳本，程式碼中的 K2F 品牌與憑證資訊不能作為歸因依據。這起事件與 LiteLLM 案是否有關聯，目前沒有任何證據。
自我檢查與處置
玩過 PC 版的使用者可以這樣檢查：
- 打開妮姬安裝目錄下
Launcher/intl_service裡的debug.log，搜尋k2f_chan。出現這個字串，代表遠端控制程式可能執行過。 - 在官方確認修復之前，暫時不要啟動 PC 啟動器，再次使用前先清除它的快取。
- 如果查到痕跡，先隔離這台電腦、保留證據，再到乾淨的裝置上更改密碼、登出所有工作階段、撤銷 API 權杖與 SSH 金鑰。
- 錢包助記詞無法靠輪替補救，必須建立新錢包再轉移資產。
報告還提醒，這支木馬能重新安裝自己的載入程式，只靠檔案雜湊值判斷並不可靠，也不要直接刪除整個 Chrome 目錄。
參考來源：GitHub 獨立分析報告、InvenGlobal、CocoLoop；受污染檔案數量兩方說法不一，感染規模與攻擊入口均未確認，官方尚未回應。