Qué pasó
El 17 de septiembre de 2026, Checkmarx Zero publicó el análisis de una campaña de cadena de suministro en torno al paquete npm indexed-btree, que suplantaba a la biblioteca legítima sorted-btree, y a nueve paquetes hermanos del mismo operador. Sumaban más de 5,3 millones de descargas semanales. Snyk había marcado todas las versiones como maliciosas el 7 de septiembre y el 20 los diez paquetes ya habían sido retirados.
Paquetes: indexed-btree, ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map y sliding-score-window.
La novedad: malware en tiempo de ejecución
Desde julio de 2026, npm v12 exige aprobación explícita para ejecutar scripts de instalación. indexed-btree no tiene ninguno. El cargador está dentro de BTree.prototype.set(), el método que toda aplicación llama constantemente, y solo se activa cuando la clave es "laxamente igual" a 100.
Otros detalles:
- el código malicioso solo estaba en el tarball de npm, no en el repositorio de GitHub;
- el historial de commits se fabricó desde diciembre de 2025;
- exfiltración por Slack y Telegram, con segunda etapa descargada de un contrato inteligente en la testnet Ethereum Sepolia;
- el malware puede borrarse a sí mismo.
Qué hacer ahora
- Busque estos nombres en lockfiles, SBOM, espejos y cachés de CI.
- Si aparecen, preserve evidencias y rote tokens de npm, credenciales de Git, claves de nube y secretos de CI.
- Monitoree el comportamiento en tiempo de ejecución de máquinas de build y desarrollo.