El ataque
La mañana del martes 4 de agosto de 2026, investigadores de Socket y Wiz vieron un ataque a la cadena de suministro npm en los namespaces keyv y cacheable, tras el aparente compromiso de la cuenta Jaredwray. Los paquetes suman decenas de millones de descargas semanales, a menudo de forma indirecta.
Cómo se propaga
Versiones maliciosas usan un hook preinstall, descargan Bun y ejecutan Math_Symbol.js, roban secretos de nube y tokens npm, y se propagan republicando paquetes. Los datos van a repos GitHub con la descripción "Shai-Hulud: Here We Go Again".
Qué hacer
Fije versiones limpias, reconstruya lockfiles, audite cuentas y rote credenciales. Quite loaders maliciosos antes de rotar tokens.