Công ty nghiên cứu bảo mật Zscaler ThreatLabz đã xác định ba gói npm độc hại giả danh là các thư viện liên quan đến Bitcoin, đã được tải xuống hơn 3.400 lần trước khi bị gỡ bỏ. Các gói này, có tên bitcoin-main-lib, bitcoin-lib-js và bip40, được sử dụng để triển khai một trojan truy cập từ xa (RAT) có tên NodeCordRAT. Phần mềm độc hại này có khả năng đánh cắp thông tin đăng nhập Chrome, token API và khóa riêng tư hoặc cụm từ khôi phục ví MetaMask, và nó hoạt động thông qua điều khiển lệnh qua các máy chủ Discord. Phần mềm độc hại được kích hoạt thông qua các script cài đặt mà không có sự biết của nhà phát triển, làm nổi bật rủi ro ngày càng tăng trong chuỗi cung ứng npm. Các nhóm bảo mật được khuyên nên cảnh giác khi các mối đe dọa này tiếp tục gia tăng.