Apa yang berlaku
Pada 17 September 2026, Checkmarx Zero menerbitkan analisis kempen rantaian bekalan di sekitar pakej npm indexed-btree, yang menyamar sebagai pustaka sah sorted-btree, serta sembilan pakej berkaitan daripada pengendali yang sama. Jumlahnya lebih 5.3 juta muat turun seminggu. Snyk telah menandakan semua versi indexed-btree sebagai hasad pada 7 September, dan menjelang 20 September kesemua sepuluh pakej telah dibuang.
Pakej: indexed-btree, ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map dan sliding-score-window.
Yang baharu: hasad semasa runtime
Sejak Julai 2026, npm v12 memerlukan kelulusan jelas untuk menjalankan skrip pemasangan. indexed-btree tiada skrip pemasangan langsung. Pemuat diletakkan dalam BTree.prototype.set(), kaedah yang dipanggil setiap aplikasi, dan hanya aktif apabila kunci lebih kurang sama dengan 100.
Butiran lain:
- kod hasad hanya wujud dalam tarball npm, bukan repositori GitHub;
- sejarah commit GitHub dipalsukan sejak Disember 2025;
- data dihantar melalui Slack dan Telegram, peringkat kedua diambil dari kontrak pintar di testnet Ethereum Sepolia;
- hasad boleh memadam dirinya.
Apa yang perlu dilakukan
- Cari nama-nama ini dalam lockfile, SBOM, cermin dan cache CI.
- Jika ditemui, simpan bukti dan tukar token npm, kelayakan Git, kunci awan dan rahsia CI.
- Pantau tingkah laku runtime mesin binaan dan pembangun.