🚨В npm произошла крупнейшая supply-chain атака в истории.

Злоумышленники заразили 18 популярных пакетов с общим трафиком 2,6 млрд загрузок в неделю. В список попали chalk, debug, ansi-styles, color-convert, color-name и ещё пачка «цветовых кирпичиков», которые тянет половина JS-экосистемы.

Как провели атаку?

Фишинговое письмо.
Josh Junon (qix) — автор популярных пакетов, получил имейл, якобы от поддержки npm: «Перепройдите 2FA до 10 сентября, иначе аккаунт заблокируем».
Он кликнул по ссылке → credentials ушли злоумышленникам.
Через этот доступ они выложили новые версии пакетов уже с закладкой.

В заражённые версии встроили malware-модуль, который при установке подгружал вредоносный код, а тот, в свою очередь, перехватывал операции с криптокошельками: копируешь адрес — он тихо подменяется на адрес атакующего.

Какая опасность?

Масштаб: речь не про «какой-то obscure пакет», а про базовые кирпичи JS. Их тянут React, Next.js и тысячи других проектов.

Крипто-угроза: если твой сервис взаимодействует с криптой, деньги могли утекать на кошельки атакующих.

Долгосрочный эффект: даже после удаления пакетов заражённые версии могут кэшироваться в CI/CD пайплайнах, зеркалах и локальных зависимостях.

Но если вы не вайб-кодили крипто сервисы, то вам нечего боятся, кроме лишнего кода в билде 😄

🎚️ @vibe_coding_channel
🎚️ @vibe_coding_community