npm 人気キャッシュライブラリ 11 種 43 億回/月ダウンロード侵害・認証情報盗む自己複製型マルウェア

要約

2026 年 8 月 4 日、keyv など複数のキャッシュ・ストレージライブラリの保守者の GitHub アカウントが侵害され、npm パッケージ全体に認証情報盗取ワームが注入されました。keyv (6 億回/月)、flat-cache (5.8 億回/月)、file-entry-cache (5.7 億回/月) など 11 パッケージが同時に汚染され、合計 43 億回/月のダウンロードに影響を受けました。攻撃者は setup.mjs と Math_Symbol.js ファイルをパッケージに追加し、npm install 実行時に自動的に実行されるよう仕掛け、npm トークン・GitHub トークン・AWS 認証情報・Kubernetes シークレット・Vault トークン・Stripe・Slack トークンなど複数の認証系情報を盗取して暗号化した上で GitHub リポジトリと外部ドメイン経由で流出させました。さらにワームは盗んだ認証情報を使って他の保守者のパッケージにも自己複製され、執筆時点で少なくとも 434 パッケージ (1,381 バージョン) が侵害されています。