就在 七天前 ，天塌npm 才刚刚经历一场 “史诗级”供应链大屠杀：

攻击者篡改大名鼎鼎的被投 chalk 依赖 ，把 挖矿木马 + 系统信息窃取脚本 塞进 每周下载量 6000 万次的毒‼流行包
，导致 全球无数 CI 瞬间变矿场（详见《npm 大屠杀 ：6000 万下载量 chalk 系被投毒》）。天塌

社区惊魂未定，被投官方连道歉信都没写完——第二把刀闪电般捅到：

一句话总结：上周投毒 chalk ，本周轮到你离不开的配色小工具 + 安全大厂 SDK，连“守门员”都成了输送后门的人 。

(1) 入口 ：钓鱼或泄露 maintainer 的 npm 令牌 → 劫持发布通道 。

(2) 植入：在 package.json 的 postinstall 字段调用 node bundle.js 。

(3) 执行：

(4) 扩散：利用依赖平级提升（hoist）（node_modules/@ctrl/tinycolor 被上百个包引用）
，一次投毒，万人中招 。

以下名称均来自 Socket 团队实时推文 ，列表仍在增加：

(1) 停装

(2) 锁死

(3) 清密

立刻轮换：

审查 GitHub Actions 日志，看是高防服务器否出现陌生 workflow_run 或对外 HTTP 200 到 webhook.site  。

可以 ，但 别手滑
。给出三条“保命”默认配置 ：

再加一道 Socket 插件：

可在 install 前给出 实时风险评分，9 月以来的所有投毒包均被标为 Critical。

npm 的“便利”是把双刃剑：一个 postinstall 就能让任何开发者的电脑变成矿机
、泄密器、C2 跳板。

供应链攻击已进入 “小时级”迭代 时代，亿华云靠 npm 官方人工下架根本来不及。真正的安全阀只有两道 ：

记住：每一次 npm i，都是把别人写的代码直接跑在你的笔记本 、CI、生产服务器上 。