Chuyện gì đã xảy ra
Ngày 17/9/2026, Checkmarx Zero công bố phân tích chiến dịch chuỗi cung ứng quanh gói npm indexed-btree, giả mạo thư viện hợp pháp sorted-btree, cùng chín gói anh em của cùng kẻ vận hành. Tổng cộng các gói có hơn 5,3 triệu lượt tải mỗi tuần. Snyk đã gắn cờ độc hại cho mọi phiên bản indexed-btree từ 7/9, và đến 20/9 cả mười gói đã bị gỡ.
Các gói: indexed-btree, ordered-kv-index, btree-leaderboard, priority-slot-queue, btree-range-store, btree-core, btree-time-index, btree-lru-cache, neighbor-key-map, sliding-score-window.
Điểm mới: mã độc chạy lúc runtime
Từ tháng 7/2026, npm v12 yêu cầu phê duyệt rõ ràng mới chạy install script. indexed-btree không có install script nào. Bộ nạp nằm trong BTree.prototype.set(), phương thức mọi ứng dụng gọi liên tục, và chỉ kích hoạt khi khóa xấp xỉ bằng 100.
Chi tiết khác:
- mã độc chỉ có trong tarball trên npm, không có trong repo GitHub;
- lịch sử commit GitHub bị làm giả từ tháng 12/2025;
- gửi dữ liệu qua Slack và Telegram, giai đoạn hai lấy từ hợp đồng thông minh trên testnet Ethereum Sepolia;
- mã độc có thể tự xóa.
Nên làm gì
- Tìm các tên này trong lockfile, SBOM, mirror và cache CI.
- Nếu thấy, giữ bằng chứng và thay token npm, thông tin Git, khóa đám mây và bí mật CI.
- Giám sát hành vi runtime của máy build và máy lập trình viên.