O ataque
Na manhã de terça-feira, 4 de agosto de 2026 (hora dos EUA), pesquisadores da Socket e da Wiz viram um ataque à cadeia de suprimentos npm começar pelos namespaces keyv e cacheable, após o aparente comprometimento da conta do mantenedor Jaredwray. Os pacotes têm dezenas de milhões de downloads semanais, muitas vezes de forma indireta (ex.: eslint → file-entry-cache → flat-cache → keyv).
Como o malware se espalha
Versões maliciosas usam um hook preinstall que baixa um runtime Bun e executa Math_Symbol.js. O payload rouba chaves AWS/GCP/Azure, tokens Vault/Kubernetes/GitHub OIDC e tokens npm, faz varredura estilo TruffleHog e se propaga republicando outros pacotes com os tokens roubados. Dados são criptografados (AES-256-GCM) e enviados a repositórios GitHub com a descrição "Shai-Hulud: Here We Go Again", além de hooks em .claude e .vscode.
O que fazer
Fixe versões limpas, reconstrua lockfiles, audite contas npm/GitHub e rotacione credenciais de nuvem. Remova loaders maliciosos antes de rotacionar tokens, por causa do “dead-man’s switch” que consulta a API do GitHub a cada 60 segundos.