週次ダウンロード 1.27 億回の npm パッケージ keyv と関連パッケージ群が 8 月 4 日、資格情報窃取ワームに侵害されました。SafeDep は 9:35–13:18 UTC の間に 79 パッケージ名にまたがる 2,234 の悪性バージョンを観測し、影響範囲は月間インストール 20 億回超に及ぶと分析しています。攻撃はメンテナの GitHub アカウント乗っ取りが起点で、main への直 push と即時リリースにより GitHub Actions 署名済み provenance を持ったまま npm 上に流出しました。
主なポイント
- 侵害は Shai-Hulud 派生の自己増殖型で、各パッケージに
setup.mjsとMath_Symbol.jsを追加しpreinstallフックを注入 preinstallが Bun ランタイムを取得して 728KB の難読化 Stealer を起動、npmrc / GitHub CLI / AWS / Vault / kube-config / 暗号資産ウォレットを収集- 拡散は 30 分で 9 組織にまたがり @deliveroo / @servicetitan / @qlik / @ornikar / @onereach などを巻き込み
- Aikido と Snyk の解析では Claude Code / VS Code の hook 差し込みも確認、開発機での二次実行を狙う設計
- 対処: 侵害以降にインストールした環境で resolve/lock 更新前に
--ignore-scriptsを使い、露出した credential のローテーションが必須