发生了什么
在一次供应链攻击中，攻击者在 42 个 @tanstack/* npm 包中植入恶意代码，并通过 GitHub 令牌实现死机开关，若撤销令牌将触发主机数据清除。
为什么值得关注
此事件揭示了 npm 生态中供应链安全的严峻挑战，涉及云凭证泄露，值得关注。
信息来源
以下内容来自公开来源，可打开原文继续核验。
01
01
Aikido Security 报告称
Aikido Security 报告称，名为 Mini Shai‑Hulud 的 npm 恶意软件攻击已波及 169 个包、373 个恶意版本，窃取 CI 凭证并发布受污染的包，受影响的项目包括 @TanStack、@Mistral 等。
值得跟进