Un ataque coordinado a la cadena de suministro ha afectado al ecosistema npm, involucrando 30 paquetes maliciosos, según una alerta de seguridad de SlowMist. Los atacantes distribuyeron programas maliciosos de robo de información en JavaScript creando repositorios falsos de bots de trading y paquetes npm con temática DeFi. El paquete stake-math@3.5.4 fue identificado como una dependencia bloqueada en el repositorio donoaccestag/forex-mt5-trading-bot, que mostró signos de anomalías con aproximadamente 23,000 repositorios bifurcados similares bajo la cuenta poly-stocks. El ataque representa un riesgo de robo de datos sensibles, incluyendo billeteras de criptomonedas, cookies del navegador, contraseñas, credenciales de desarrolladores, claves privadas, frases semilla y tokens de API. Se aconseja a los desarrolladores eliminar los paquetes afectados, auditar las dependencias y los registros de CI, tratar los sistemas que hayan ejecutado npm install como comprometidos, rotar las credenciales expuestas y reconstruir los entornos desde imágenes limpias.