分類：security-supply-chain

Shai-Hulud 回來了：keyv 維護者帳號遭攻破後，npm 套件被 preinstall 蠕蟲污染的供應鏈事件

Threads 提醒 npm install 可能觸發憑證外洩。本文查證 Aikido 2026-08-04 報告：keyv 維護者 GitHub 帳號遭攻破，keyv、flat-cache、file-entry-cache、cacheable 等套件被加入 setup.mjs / Math_Symbol.js 與 preinstall hook，後續社群擴散到數百套件、逾 20 億月安裝量。整理 BigIntTech 立即處置清單。