數據：Keyv 生態遭大規模 npm 供應鏈攻擊，超 2,000 個惡意包版本發布

ChainCatcher 消息，據慢霧監測，MistEye 檢測到一次大規模 npm 供應鏈攻擊，影響 Keyv/Cacheable 生態系統。攻擊者發布了超過 2,000 個惡意包版本，包括 [email protected]。Keyv 是廣泛使用的鍵值存儲抽象庫，支持 Redis、SQLite、PostgreSQL、MongoDB 等后端，每周下載量約 1.27 億次，導致明顯的下游供應鏈暴露。攻擊手法與此前 Shai-Hulud npm 蠕蟲活動高度相似，指向高度自動化和可擴展的供應鏈攻擊。潛在攻擊行為包括憑據竊取、環境變量泄露、CI/CD 密鑰泄露、遠程載荷投遞及通過被入侵的開發環境橫向傳播。安全團隊應立即識別并移除受影響包版本，升級至已驗證的安全版本，審查依賴鎖文件和構建日志，監控可疑外連，輪換泄露憑據，并在確認受影響后重建環境。

• 喜歡使用社交軟體關注？關注我們的 Twitter，或者加入 Telegram！
• 想關注最新資訊？ 下載CoinCarp App吧
• 有新聞需要爆料，官方公告需要發布? 來給我們發郵件吧！[email protected]