npm供应链攻击：868个包被植入窃密蠕虫

npm生态遭严重供应链攻击，攻击者窃取keyv（周下载1.27亿）等流行库维护者账号，发布含恶意preinstall脚本的包，已感染至少868个包，月下载超20亿次。恶意代码窃取凭证，影响Hermes/OpenClaw等AI智能体用户，开发者需立即排查。

2026-08-04 ~ 2026-08-04 · 3 条相关

• npm 遭遇供应链投毒：超 868 个包被植入窃密蠕虫 — RSync25 · 2026-08-04
• npm爆发生态级供应链攻击：keyv等核心包感染蠕虫窃取凭证 — DanielLockyer · 2026-08-04
• 警惕：keyv npm包遭遇供应链恶意软件攻击 — altryne · 2026-08-04