攻击概况
**2026年8月4日(周二)**上午(美国时间),Socket 与 Wiz 研究人员发现,在维护者账户 Jaredwray 疑似被入侵后,keyv 与 cacheable 命名空间出现 npm 供应链攻击。相关包周下载量达数千万,多为间接依赖。
传播方式
恶意版本通过 preinstall 钩子下载 Bun 并运行 Math_Symbol.js,窃取云密钥与 npm 令牌,再用被盗令牌重新发布其他包。数据被送往描述为 "Shai-Hulud: Here We Go Again" 的 GitHub 仓库。
该做什么
固定干净版本、重建 lockfile、审计账户并轮换凭据。务必在轮换令牌之前清除恶意加载器。
