# ChainDrop 蠕虫攻陷 npm 逾 1300 个包

Source: https://www.zaihua.news/article/42981/

[返回新闻流](https://www.zaihua.news/)
2026年8月5日 · 11:04 · [在花新闻](https://www.zaihua.news/about/)

# ChainDrop 蠕虫攻陷 npm 逾 1300 个包

自我传播蠕虫 ChainDrop 已入侵 npm 仓库超过 1300 个包，合计月下载量达 20 亿次，包括 Keyv、Cacheable 等热门缓存工具。攻击始于黑客攻破 Keyv 维护者的 GitHub 账号，并蔓延至 Deliveroo、Qlik、ServiceTitan 等机构相关包；恶意版本经正常的 GitHub Actions 流程发布，带有合法来源证明。

中毒包内的 setup.mjs 投放器与 Math_Symbol.js 窃密脚本会在执行 npm install 时自动运行，窃取 GitHub、npm、AWS、Kubernetes 等凭证并感染其他维护者的包。安全公司建议：安装过受影响版本即应视系统已被攻破，重建环境、轮换所有令牌并检查日志；npm-cache[.]com 域名可作为失陷指标。攻击仍在扩散，受影响包数量预计继续增加。

[BleepingComputer](https://www.bleepingcomputer.com/news/security/massive-chaindrop-npm-supply-chain-attack-infects-hundreds-of-packages/)

🌸 [在花频道](http://t.me/ZaiHuaPd) · [茶馆水群](https://t.me/zaihuachat) · [投稿通道](http://t.me/ZaiHuabot)

[上一条 DeepSeek 重启第二轮融资 投前估值 5000 亿元](https://www.zaihua.news/article/42980/)[下一条酷安小编称多年收到上万封厂商下架函，仅苹果未发过](https://www.zaihua.news/article/42982/)