공격 개요
2026년 8월 4일(화) 아침(미국 시간) Socket과 Wiz 연구진은 메인테이너 계정 Jaredwray 침해 후 keyv·cacheable 네임스페이스에서 npm 공급망 공격이 시작됐다고 전했습니다. 주간 다운로드는 수천만 규모이며 간접 의존이 많습니다.
확산 방식
악성 버전은 preinstall 훅으로 Bun을 받아 Math_Symbol.js를 실행하고 클라우드 키·npm 토큰을 훔친 뒤 다른 패키지를 재게시합니다. 데이터는 "Shai-Hulud: Here We Go Again" 설명의 GitHub 저장소로 전송됩니다.
대응
깨끗한 버전에 고정하고 lockfile을 다시 만들며 계정을 감사하고 자격 증명을 교체하세요. 토큰 교체 전에 악성 로더를 제거하세요.