Никогда такого не было, и вот опять: популярный npm-пакет event-stream скомпрометирован, предположительные цели атаки — криптопроекты, использующие copay → https://github.com/dominictarr/event-stream/issues/116

В event-stream был добавлен вредоносный пакет flatmap-stream@0.1.1. Проверьте свои проекты на его отсутствие с помощью команды npm ls event-stream flatmap-stream.