SlowMist 보안 경고에 따르면, 30개의 악성 패키지가 포함된 조정된 공급망 공격이 npm 생태계를 대상으로 발생했습니다. 공격자들은 가짜 거래 봇 저장소와 DeFi 테마의 npm 패키지를 만들어 JavaScript 정보 탈취 악성코드를 배포했습니다. stake-math@3.5.4 패키지는 donoaccestag/forex-mt5-trading-bot 저장소에서 잠긴 의존성으로 확인되었으며, poly-stocks 계정 아래 약 23,000개의 유사한 포크된 저장소에서 이상 징후가 발견되었습니다. 이번 공격은 암호화 지갑, 브라우저 쿠키, 비밀번호, 개발자 자격 증명, 개인 키, 시드 구문, API 토큰 등 민감한 데이터 도난 위험을 초래합니다. 개발자들은 영향을 받은 패키지를 제거하고, 의존성 및 CI 로그를 감사하며, npm install을 실행한 시스템을 손상된 것으로 간주하고, 노출된 자격 증명을 교체하며, 깨끗한 이미지에서 환경을 재구축할 것을 권고받고 있습니다.